Data Recovery and Disk Utilities Forum @R-TT

We're working on the Custom File Type for it.

[quote="PocketGeeks"]
Not so sure about the end one. The end of each file is padded with exactly 453 '\x00'. The end signature appears to have 14 significant pieces before the 453 '\x00'.
In that case the offset would be 14....is that correct?
<Signature offset="14" from="end" count="1">\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x02</Signature>[/quote]

What I meant:

The end of each file has four-hundred-fifty-three \x00 entries. Right before the four-hundred-fifty-three \x00 entires there are 14 significant pieces.

So it looks like this at the end:
\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00[b]\x02[/b]\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00

Ok I'm scanning with the new signature. The old sig found some files but it couldn't recovery them properly.

Out of curiosity, what is the last " '\x0 "for?

Actually, it should be

<Signature offset="19" from="end" count="1">\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x02453 '\x0</Signature>

One of my client needs to recover 6 months of business data stored in a Works Spreadsheet file.

I attempted to create a file signature, but I have no idea if I did it right....

I used a hex editor to find the signature of the files by comparing two XLR files side by side.

This is what I came up with

<Signature offset="0" from="begin" count="1">\xD0\xCF\x11\xE0\xA1\xB1\x1A\xE1</Signature>

Not so sure about the end one. The end of each file is padded with exactly 453 '\x00'. The end signature appears to have 14 significant pieces before the 453 '\x00'.
In that case the offset would be 14....is that correct?
<Signature offset="14" from="end" count="1">\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x02</Signature>