黄步根，伏 娟

(1.江苏警官学院计算机信息与网络安全系，江苏 南京210012；2.淮安市公安局，江苏 淮安 223005)

MS-DOC文件文本提取研究*

黄步根1，伏 娟2

(1.江苏警官学院计算机信息与网络安全系，江苏 南京210012；2.淮安市公安局，江苏 淮安 223005)

关键词搜索广泛应用于情报分析、搜索引擎和计算机取证，对MS-DOC文件进行关键词搜索可能漏判，明明存在的关键词却找不到。微软复合文档结构由一系列流组成，流以扇区为单位存储，通过目录结构和扇区分配表对流及其存储空间进行管理。MS-DOC文件中的文本存储在WordDocument流中，文本存储不一定连续，通过Table流记录分块情况。关键词可能跨越不相邻扇区，即使在相邻扇区，一个关键词可能一部分是压缩存储，另一部分是非压缩存储，这些都是关键词搜索漏判的原因。根据Table流中的分块信息提取WordDocument流中的文本，并统一编码格式，进而进行关键词搜索，就可以避免漏判。

复合文档；文本提取；关键词；搜索；计算机取证

1 引言

对MS-DOC文件进行关键词搜索可能漏判，明明存在的关键词却找不到。原因是MS-DOC文件文本分块存储，且有快速保存的complex格式和非快速保存的non-complex格式。根据分块信息提取文本，并统一编码格式，就可以解决漏判。

2 复合文档结构

MS-DOC文件采用复合文档结构[1]。复合文档的存储空间以扇区(Sector)为单位进行管理。复合文档包括多种信息，是由文字、图片、声音、视频等信息复合而成的，仿照FAT32文件系统管理存储内容，存储的内容为一系列流(Stream)，流的管理对应FAT32系统中的目录管理，流的存储不要求连续，用扇区分配表来存储链接关系，相当于FAT32系统的FAT表。……