微软复合文档二进制格式实例分析

最新推荐文章于 2024-02-08 18:16:21 发布
最新推荐文章于 2024-02-08 18:16:21 发布
阅读量734 收藏 2
点赞数 1
文章标签： 数据结构与算法
原文链接：http://www.cnblogs.com/tzleo/archive/2012/04/12/2444399.html
版权

复合文档二进制格式（compound File binary Format：CFBF）基本上以扇区（sector）为单位，sector大小由文件头中的信息决定，文件头是固定大小为512的扇区：

CFBF本身的扇区类型分为以下几种：

1. CFBF本身定义好的数据结构，如Header，Directory Entry。

2. 扇区的映射表，称为FAT。以链表的形式记录了与扇区相连的扇区。

3. 扇区映射表的索引，包括Header._sectFat[109]；这个实例中没有这种类型的扇区，只有当扇区映射表的数量超过了109时才会有。

4. 目录结构表，其SECT索引放在FAT中，由Header._sectDirStart决定起始的SECT。

5. 数据本身，有两种类型：一种为正常的Stream，其SECT索引放在FAT中，由SID#._sectStart决定起始的索引，另外一种为MiniStream，其SECT索引放在MiniFAT中，由SID#0._sectStart决定起始的索引。

 

SECT #-1(header)

Header
文件位置数据长度数据内容对应的变量含义说明
0x008DOCF 11E0 A1B1 1AE1_abSig CFBF格式的标志
0x08160000 0000 0000 0000 0000 0000 0000 0000_clid  
0x1820x3E_uMinorVersion;  minor version of the format: 33 is written by reference implementation
0x1A23_uDllVersion; 扇区长度为512-byte.major version of the dll/format: 3 for 512-byte sectors, 4 for 4 KB sectors
0x1C20xFFFE_uByteOrder;  0xFFFE: indicates Intel byte-ordering
0x1E29_uSectorShift; 512-byte/sectorsize of sectors in power-of-two; typically 9 indicating 512-byte sectors
0x2026_uMiniSectorShift; 64-byte/mini-sectorsize of mini-sectors in power-of-two; typically 6 indicating 64-byte mini-sectors
0x2220_usReserved; reserved, must be zero
0x2440_ulReserved1; reserved, must be zero
0x2840_csectDir;not used for 512-byte sectorsmust be zero for 512-byte sectors, number of SECTs in directory chain for 4 KB sectors
0x2C41_csectFat;当前文件包含了一个Fat扇区number of SECTs in the FAT chain
0x3041_sectDirStartSECT #1 是第一个文件夹扇区first SECT in the directory chain
0x3440_signature;not used, transactions not supportedsignature used for transactions; must be zero. The reference implementation does not support transactions
0x3840x00001000_ulMiniSectorCutoff4096 bytesmaximum size for a mini stream; typically 4096 bytes
0x3C40x00000002_sectMiniFatStartSECT#2 is first MiniFAT sectorfirst SECT in the MiniFAT chain
0x4040x00000001_csectMiniFat1 MiniFAT sector in this filenumber of SECTs in the MiniFAT chain
0x4440xFFFFFFFE_sectDifStartno DIFAT, file is < 7Mbfirst SECT in the DIFAT chain
0x4840_csectDIFno DIFAT sectors in this filenumber of SECTs in the DIFAT chain
0x4C400000000_sectFat[0]SECT#0 is the first FAT sectorthe SECTs of first 1 FAT sectors
0x50432FFFFFFFF ... (continues with FFFFFFFF)_sectFat[1..108]free FAT sectorsFAT扇区的索引，说明哪些SECT是FAT扇区。

 

Sector #0:

FAT
文件位置数据长度数据内容对应变量含义说明
0x20040xFFFFFFFDN/A

_sectFat[0]指向SECT #0，也就是当前扇区.FAT扇区的标志。

0xFFFFFFFD说明这个扇区为SECTs的索引. 本身代表了FAT中的第0个SECT，也就是扇区本身。
0x20440xFFFFFFFEN/A_sectDirStart指向SECT #1，表示后面已经没有SECT了。这个位置代表了FAT中的第1个SECT。
0x20840xFFFFFFFEN/A_sectMiniFatStart指向SECT #2，表示后面已经没有SECT了。这个位置代表了FAT中的第2个SECT。
0x20C40x4N/A 这个位置代表了FAT中的第3个SECT。
0x2104960xFFFFFFFFN/A空闲的SECT索引。 

SECT #1:

_sectDirStart = 1, 说明这个扇区为目录区，一个目录的数据结构大小为128-byte，所以每个扇区可以包含4个目录。

Directory Entry用到的枚举类型如下：

typedef enum tagSTGTY {
  STGTY_INVALID     = 0,       // unknown storage type
  STGTY_STORAGE     = 1,       // element is a storage object
  STGTY_STREAM      = 2,       // element is a stream object
  STGTY_LOCKBYTES   = 3,       // element is an ILockBytes object
  STGTY_PROPERTY    = 4,       // element is an IPropertyStorage object
  STGTY_ROOT        = 5        // element is a root storage
} STGTY;
typedef enum tagDECOLOR {
  DE_RED            = 0,
  DE_BLACK          = 1
} DECOLOR;

 

SID 0
文件位置数据长度数据内容对应变量含义说明
0x40064L"Root Entry"_ab[32]文件夹名称，Root文件夹专用名Unicode格式的字符串，也是文件夹的名称，包含'/0'，所以最长为31个字符。
0x44020x16_cb _ab[32]中实际用到的字节（byte）数，包含'/0'.
0x44215_mseSTGTY_ROOT，说明当前的Entry为Root，仅能有一个STGTY_ROOT类型文件夹类型，如STGTY_STORAGE、STGTY_STREAM
0x44311_bflagsDE_BLACKDECOLOR的枚举类型。
0x44440xFFFFFFFF_sidLeftSib没有左兄弟当前Entry的左边的兄弟节点的SID。
0x44840xFFFFFFFF_sidRightSib没有右兄弟当前Entry的右边的兄弟节点的SID。
0x44C41_sidChildSID为1的Entry为第一个子节点当前节点的子节点的SID。仅当_mse=STGTY_STORAGE or STGTY_ROOT时有效。
0x450160067 6156 54C1 CE11 8553 00AA 00A1 F95B_clsId 唯一标识符，仅当_mse=STGTY_STORAGE or STGTY_ROOT时有效.
0x46040_dwUserFlags未定义自定义标志位，仅当_mse=STGTY_STORAGE or STGTY_ROOT时有效。
0x46480000 0000 0000 0000_time[0]未设置目录创建时间，仅当_mse=STGTY_STORAGE时有效。
0x46C8801E 9213 4BB4 BA01_time[1] 目录修改时间，仅当_mse=STGTY_STORAGE时有效。
0x47443_sectStartSECT #3为数据的起始扇区。在Root中表示这个扇区存放的是MiniStreamStream的起始扇区，仅当_mse=STGTY_STREAM时有效。
0x47840x240_ulSizeLow数据的总长度。Stream的字节数，仅当_mse=STGTY_STREAM时有效。
0x47C40_ulSizeHigh 对512字节长度的扇区无效，高64位用来表示4k长度扇区的数据长度。

 

SID 1
文件位置数据长度数据内容对应变量含义说明
0x48064L"Storage 1"_ab[32]文件夹名称。Unicode格式的字符串，也是文件夹的名称，包含'/0'，所以最长为31个字符。
0x4C020x14_cb _ab[32]中实际用到的字节（byte）数，包含'/0'.
0x4C211_mseSTGTY_STORAGE，说明当前的节点为Storage类型文件夹类型，如STGTY_STORAGE、STGTY_STREAM
0x4C311_bflagsDE_BLACKDECOLOR的枚举类型。
0x4C440xFFFFFFFF_sidLeftSib没有左兄弟当前Entry的左边的兄弟节点的SID。
0x4C840xFFFFFFFF_sidRightSib没有右兄弟当前Entry的右边的兄弟节点的SID。
0x4CC42_sidChildSID为2的Entry为第一个子节点当前节点的子节点的SID。仅当_mse=STGTY_STORAGE or STGTY_ROOT时有效。
0x4D0160000 0000 0000 0000 0000 0000 0000 0000_clsId 唯一标识符，仅当_mse=STGTY_STORAGE or STGTY_ROOT时有效.
0x4E040_dwUserFlags未定义自定义标志位，仅当_mse=STGTY_STORAGE or STGTY_ROOT时有效。
0x4E480000 0000 0000 0000_time[0]未设置目录创建时间，仅当_mse=STGTY_STORAGE时有效。
0x4EC80000 0000 0000 0000_time[1] 目录修改时间，仅当_mse=STGTY_STORAGE时有效。
0x4F440_sectStartSTORAGE不包含Stream，只能包含StorageStream的起始扇区，仅当_mse=STGTY_STREAM时有效。
0x4F840_ulSizeLow数据的总长度。Stream的字节数，仅当_mse=STGTY_STREAM时有效。
0x4FC40_ulSizeHigh 对512字节长度的扇区无效，高64位用来表示4k长度扇区的数据长度。

 

SID 2
文件位置数据长度数据内容对应变量含义说明
0x50064L"Stream 1"_ab[32]文件夹名称。Unicode格式的字符串，也是文件夹的名称，包含'/0'，所以最长为31个字符。
0x54020x12_cb _ab[32]中实际用到的字节（byte）数，包含'/0'.
0x54212_mseSTGTY_STREAM，说明当前的节点为Stream类型文件夹类型，如STGTY_STORAGE、STGTY_STREAM
0x54311_bflagsDE_BLACKDECOLOR的枚举类型。
0x54440xFFFFFFFF_sidLeftSib没有左兄弟当前Entry的左边的兄弟节点的SID。
0x54840xFFFFFFFF_sidRightSib没有右兄弟当前Entry的右边的兄弟节点的SID。
0x54C40_sidChildStream没有子节点当前节点的子节点的SID。仅当_mse=STGTY_STORAGE or STGTY_ROOT时有效。
0x550160000 0000 0000 0000 0000 0000 0000 0000_clsId 唯一标识符，仅当_mse=STGTY_STORAGE or STGTY_ROOT时有效.
0x56040_dwUserFlags未定义自定义标志位，仅当_mse=STGTY_STORAGE or STGTY_ROOT时有效。
0x56480000 0000 0000 0000_time[0]未设置目录创建时间，仅当_mse=STGTY_STORAGE时有效。
0x56C80000 0000 0000 0000_time[1] 目录修改时间，仅当_mse=STGTY_STORAGE时有效。
0x57440_sectStart_ulSizeLow < _ulMiniSectorCutoff，所以Stream数据被放在MiniFAT中，从第0个MiniSector开始Stream的起始扇区，仅当_mse=STGTY_STREAM时有效。
0x57840x220_ulSizeLow数据长度，小于Header._ulMiniSectorCutoffStream的字节数，仅当_mse=STGTY_STREAM时有效。
0x57C40_ulSizeHigh 对512字节长度的扇区无效，高64位用来表示4k长度扇区的数据长度。

 

第三个Directory Entry为空。

 

SECT #2:

由Header._sectMiniFatStart = 2 我们知道当前SECT为MiniFAT。

MiniFAT
文件位置数据长度数据内容对应变量含义说明
0x60040x00000001N/ASID2._sectStart = 0，所以当前值为下一个MiniSector的索引当前minisector的下一个索引，下同
0x60440x00000002N/A下个MiniSector为MiniSECT #2,下同 
0x60840x00000003N/A下个MiniSECT=3 
0x60C40x00000005N/A下个MiniSECT为5 
0x61040x00000006N/A  
0x61440x00000007N/A下个MiniSECT=7 
0x61840x00000008N/A  
0x61C40xFFFFFFFFEN/A数据结束 
...... 0xFFFFFFFFFN/A空闲的索引 
      

 

 

SECT #3

SID0._sectStart指明了当前SECT为MiniStream sector。

000800:  4461 7461 2066 6F72  2073 7472 6561 6D20    Data for stream
000810:  3144 6174 6120 666F  7220 7374 7265 616D    1Data for stream
000820:  2031 4461 7461 2066  6F72 2073 7472 6561    1Data for strea
. . .
000A00:  7461 2066 6F72 2073  7472 6561 6D20 3144    ta for stream 1D
000A10:  6174 6120 666F 7220  7374 7265 616D 2031    ata for stream 1

结束

转载于:https://www.cnblogs.com/tzleo/archive/2012/04/12/2444399.html

z-pan
关注
微软复合文档文件格式 二进制分析
03-06
在二进制基础上总结微软复合文档文件格式结构的文档
复合二进制文档(Compound Document File)解析
jfu22的专栏
01-24 7689
复合文档（Compound Document）是一种不仅包含文本而且包括图形、电子表格数据、声音、视频图象以及其它信息的文档。可以把复合文档想象成一个所有者，它装着文本、图形以及多媒体信息如声音和图象。目前建立复合文档的趋势是使用面向对象技术，在这里，非标准信息如图像和声音可以作为独立的、自包含式对象包含在文档中。Microsoft Windows就是使用这种技术，叫做―OLE2 storag
复合文档格式研究之05-DIFAT、FAT、MINIFAT
VHeroin的博客
05-16 802
李懿Excel学习2016-07-05 微信扫一扫 关注该公众号 需要之前的文章，请在公众号内回复： 复合文档 5、读取DIFAT，FAT，MINIFAT 上一次，我们成功读取了文件头Header。这一次，我们要根据Header中的信息读取DIFAT，FAT和MINIFAT。这三个信息至关重要，它直接关系到我们数据真正的存储顺序。在那之前，先来复习并扩展一下这些基本的概念。...
OpenOffice 微软复合文档格式
12-10
OpenOffice的文档 Microsoft Compound Document File format.描述了微软复合文档（包括.doc .xls .ppt等）的基本格式。
2021-2022计算机二级等级考试试题及答案No.10646.docx
10-25
- 字节是计算机中常用的数据单位之一，通常由8位二进制数组成，用于衡量存储容量或数据传输量。 #### 11. JavaScript 标识符规则 - 在JavaScript中，标识符不能包含特殊符号，如星号 (*) 和除号 (/) 等。因此，`a*b...
C#微软培训资料
01-22
9.3 面向对象的分析 .105 9.4 面向对象的设计 .107 9.5 小 结 .110 第十章 类 .112 10.1 类 的 声 明 .112 10.2 类 的 成 员 .113 10.3 构造函数和析构函数 .119 10.4 小 结 .122 第十一章 方 法 ....
基于VB的OLE技术实现液压阀CAD的图库管理.pdf
08-05
OLE技术提供了创建复合文档的机制，它允许应用程序之间共享和嵌入彼此创建的对象，这些对象可以包括电子表格、图像、声音等多种实体。OLE容器是创建和管理复合文档的应用程序，它负责储存对象及其初始化条件。OLE...
交互式模型分析：视觉理解、诊断和改进机器学习模型
视觉信息学1（2017）48更好地分析机器学习模型：可视化分析视角刘诗霞*，王希婷，刘梦辰，朱军中国北京清华大学ar t i cl e i nf o文章历史记录：2017年1月18日在线提供保留字：交互式模型分析交互式可视化机器学习...
windows复合文档格式详解
08-03
详细描述了Windows文件的格式，如word、Excel、PPT的等，有兴趣的话值得看看
复合文档豪华版,支持复杂路径解析,多流打开 compound file
10-16
复合文档豪华版,支持复杂路径解析,多流打开的compound file，安全高效地检索复合文档中的流。支持路径名打开，如绝对路径 \Video\Data\Video.mp4 相对路径 ..\GUID\GUID.txt 当前路径 .\GUID.txt
微软DOC二进制文件格式解析[Microsoft Office Binary Doc File Formats]
05-21
微软 二进制 office word 文件 doc 格式，包含2003 ，2007， 很详细的资料
010集——再次讨论【二进制文件与文本文件】的区别联系
最新发布
yongshiqq的博客
02-08 1155
文本文件只是二进制文件中的一种特例，为了与文本文件相区别，人们又把除了文本文件以外的文件称为二进制文件，由于很难严格区分文本文件和二进制文件的概念，所以我们可以简单地认为，如果一个文件专门用于存储文本字符的数据，没有包含字符以外的其他数据，我们就称之为文本文件，除此之外的文件就是二进制文件。所以，我们很难区分二者的不同，因为他们的概念上不是完全互斥的。\n特别的是，文本文件是指以ASCII码方式(也称文本方式)存储的文件，更确切地说，英文、数字等字符存储的是ASCII码，而汉字存储的是机内码。
istorage 封装 结构化存储_COM结构化存储
weixin_33215027的博客
02-16 166
复合二进制文档Microsoft实现的一种称为复合二进制文档(Compound File Binary Format，简称“复合文档”)的COM结构化存储，广泛用于结构化存储实现。使用类似于FAT的结构表示存储与流。文件片(chunk)被称为扇区(sector)按需分配给新的流或增加尺寸的流。如果流被删除或收缩尺寸，不再需要的扇区可以重新被其他流使用。使用复合二进制文档的应用程序有：Microso...
复合文档文件格式研究
zhulinfeiba的专栏
09-08 2739
<br />前 言<br /> <br />复合文档（Compound Document）是一种不仅包含文本而且包括图形、电子表格数据、声音、视频图象以及其它信息的文档。可以把复合文档想象成一个所有者，它装着文本、图形以及多媒体信息如声音和图象。目前建立复合文档的趋势是使用面向对象技术，在这里，非标准信息如图像和声音可以作为独立的、自包含式对象包含在文档中。Microsoft Windows就是使用这种技术，叫做“OLE2 storage file format”或“Microsoft Office com
复合文档的二进制存储格式研究(word,xls,ppt....）
梦想专栏
05-18 1646
复合文档文件格式研究   前 言   复合文档（Compound Document）是一种不仅包含文本而且包括图形、电子表格数据、声音、视频图象以及其它信息的文档。可以把复合文档想象成一个所有者，它装着文本、图形以及多媒体信息如声音和图象。目前建立复合文档的趋势是使用面向对象技术，在这里，非标准信息如图像和声音可以作为独立的、自包含式对象包含在文档中。Microsoft Windows就是
复合文档的二进制存储格式研究(word,xls,ppt...)
热门推荐
花落孤独
09-03 1万+
复合文档文件格式研究 前 言 复合文档（Compound Document）是一种不仅包含文本而且包括图形、电子表格数据、声音、视频图象以及其它信息的文档。可以把复合文档想象成一个所有者，它装着文本、图形以及多媒体信息如声音和图象。目前建立复合文档的趋势是使用面向对象技术，在这里，非标准信息如图像和声音可以作为独立的、自包含式对象包含在文档中。Microsoft Windows就是
枚举复合文件的存储结构
junchieh
09-02 851
Word和Excel等文件均称为复合文件。这类文件内部有一个“文件系统”，采用“磁盘文件”的组织方式来组织文件内的数据，也称为“文件中的文件系统”。每个复合文件中有一个“根存储”（类似于文件系统中的“根目录”），根存储之下是若干“子存储”（类似于“子目录”）和“数据流”（类似于“文件”），子存储之下可以再有子存储和数据流……。下列代码可将任一复合文件的文件结构进行枚举，如配合树型控件（如：
揭秘微软复合文档文件格式的二进制结构详解
本文档深入探讨了微软复合文档文件格式（Microsoft Compound Document File Format）的二进制分析，该格式主要用于处理Microsoft Office等应用程序创建的文档。作者Daniel Rentz以Public Documentation License授权...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值