00000000:  46 49 4C 45-2A 00 03 00-7C 77 1A 04-02 00 00 00  FILE* ♥ |w→♦☻  

00000010:  01 00 02 00-30 00 01 00-28 02 00 00-00 04 00 00  ☺ ☻ 0 ☺ (☻   ♦ 

00000020:  00 00 00 00-00 00 00 00-06 00 06 00-00 00 47 11          ♠ ♠   G◄

…

000001F0:  00 00 00 00-00 00 00 00-00 00 00 00-00 00 06 00                ♠

<-- конец первого сектора FILE Record

…

000003F0:  07 CC E1 0D-00 09 00 00-FF FF FF FF-82 79 06 00  •Ia♪ ○  yyyyВy♠

<-- конец второго сектора FILE Record

Сигнатура «FILE» указывает на начало файловой записи. А раз так, по смещению 04h байт будет расположен 16-разрядный указатель на номер последовательности обновления. В данном случае он равен 002Ah. ОК! Переходим по смещению 002Ah и видим, что здесь лежит слово 0006h. Перемещаемся в конец сектора и сверяем его с последними двумя байтами. Как и предполагалось, они совпадают. Повторяем ту же самую операцию со следующим сектором. Собственно говоря, количество секторов может и не равняться двум. Чтобы не гадать на кофейной гуще, необходимо извлечь 16-разрядное значение, расположенное по смещению 06h от начала файловой записи (в данном случае оно равно 0003h) и вычесть из него единицу. Действительно, получается два (сектора).

Теперь нам необходимо найти массив последовательности обновления, хранящий оригинальное значение последнего слова каждого из секторов. Смещение массива обновления рассчитывается по следующей формуле: offset of (update sequense number) + 2, т.е. в данном случае 002Ah + 02h == 002Ch. Извлекаем первое слово (в данном случае равное 00h 00h) и записываем его в конец первого сектора, затем делаем то же самое со вторым.

В результате чего восстановленный сектор будет выглядеть так:

Листинг 3. Восстановленная файловая запись

--> начало первого сектора FILE Record