hash计算在txt,doc中的细节（电子物证检验）

实验设备

笔记本电脑
操作系统：Window 10 家庭版 64位
文件系统：FAT 32

实验目的

1.了解完整性校验值计算的是哪部分
2.简单了解doc和txt的储存方式

实验过程

在txt中任意打入一个字符，保存后计算hash值，然后加上一个空格中再删除一个空格，重新计算hash值，比较hash值大小
这是两次的结果
输入1

然后计算hash值

随意一个位置加入一个空格后删除

可以发现两者的hash值完全相同
细节一点，看看详细信息界面


但是可以发现，这里面是被改变了的，那hash值（完整性校验值）是不是就不对了呢？？？

显然不是这样的…

同理对doc文件进行以上操作，输入1

计算hash值：

同理加上一个空格后删除一个空格，重新计算hash值

可以发现hash值竟然变了！！！！！

实验推理

为什么在txt中完整性校验值没有变，甚至文件属性改动了都没有变动
为什么doc中文件内容没有变，完整性校验值就变了呢？

简单假设一下，如果没有改变的原因仅仅是文件内容没有改变。那么doc文件中的hash值却变了，简单击破。
有个同学提出假设，如果是因为修改时间改变了，然后整个文件的属性就变了，那么前面提到的细节中，那个修改时间变动的txt文件就给了很好的解释

如果不仔细想想，不去认真思考，发现这个问题好像无解，甚至对完整性校验值产生怀疑。其实这只是说明你对电脑的理解仅仅是皮毛，完全不能了解你的电脑。

这时候需要做一个辅助实验，就是把你的文件建在一个虚拟磁盘下面，在重复以上操作的时候，同时计算虚拟磁盘的hash值，可以发现每一次的hash值都改变了，改变了哪里的？是不是有些信息他没有记录在文件上面，而是记录在了磁盘上面？

这时候我们要做多次实验，发现在txt文件中，每次修改，磁盘变动的字符很少，在很短的时间内修改甚至只有一处两处的字节不同，这个位置的值是不是时间呢？？很简单把他修改了，然后重新回去看文件的修改时间，嗯，和猜测一样，问题解决了一半了，修改时间存在硬盘里面。

那为什么doc类型的文件hash值却会改变呢？？仔细寻找一下，你会发现他的详细信息里面有这个玩意

这里会多出来一个来源，如果不仔细思考可能会觉得他和文件是一样的东西，但是他可以修改作者，有些电脑甚至版本号也会一直变，那么这说明了什么，不一定是显示的内容变了，有可能这个来源里面的数据也是doc自己保存的，通过修改作者名字，很快可以在Winhex里面找到对应的部分。

总结

txt没有来源那一块，格式上没有过多要求，所以修改的时候不会造成数据改变，他的修改保存时间都存储在磁盘中。
doc因为自己有记录来源，保存在自己的文件中，所以每次修改其实都改变了保存时间和版本号，所以文件的数据就被改变了
txt保存的数据少所以肯定也会比doc小很多，也算是一个txt的优势吧

思考

那么docx文件是怎么样的呢？
如果用NTFS文件系统会有什么去别的？
学习的是一种思考的过程，如果思路会了操作系统怎么变，文件类型怎么变，都可以一步步分析出结果，理解原理，然后反过来修改数据