FILE

 SIGNATURES  TABLE
File  Extension Hex  Signature ASCII  Signature Trailer File  Description
DOC,  DOT,  PPS,  PPT,  XLA,  XLS,  WIZ D0  CF  11  E0  A1  B1  1A  E1 ÐÏ.ࡱ.á An  Object  Linking  and  Embedding  (OLE)  Compound  File  (CF)  (i.e.,  OLECF)
file  format,  known  as  Compound  Binary  File  format  by  Microsoft,  used  by
Microsoft  Office  97-­‐2003  applications  (Word,  Powerpoint,  Excel,  Wizard).
[See  also  Word,  Powerpoint,  and  Excel  "subheaders"  at  byte  offset  512.
There  appear  to  several  subheader  formats  and  a  dearth  of  documentation.
There  have  been  reports  that  there  are  different  subheaders  for  Windows  and
Mac  versions  of  MS  Office  but  I  cannot  confirm  that.]
[Note  the  similarity  between  D0  CF  11  E0  and  the  word  "docfile"!]
AC_      CaseWare  Working  Papers  compressed  client  file
ADP      Access  project  file
APR      Lotus/IBM  Approach  97  file
DB      MSWorks  database  file
MSC      Microsoft  Common  Console  Document
MSI      Microsoft  Installer  package
MTW      Minitab  data  file
OPT      Developer  Studio  File  Workspace  Options  file
PUB      MS  Publisher  file
QBM      QuickBooks  Portable  Company  File
RVT      Revit  Project  file
SOU      Visual  Studio  Solution  User  Options  file
SPO      SPSS  output  file
VSD      Visio  file
WPS      MSWorks  text  document
DOC [512  byte  offset] [512  byte  offset] Word  document  subheader  (MS  Office)
EC  A5  C1  00 ì¥Á.

XLS [512  byte  offset] [512  byte  offset] Excel  spreadsheet  subheader  (MS  Office)
FD  FF  FF  FF  nn  00 ýÿÿÿ..
or or
[512  byte  offset] [512  byte  offset]
FD  FF  FF  FF  nn  02 ýÿÿÿ..
or or
[512  byte  offset] [512  byte  offset]
09  08  10  00  00  06  05  00   ........
PPT [512  byte  offset] [512  byte  offset] PowerPoint  presentation  subheader  (MS  Office)
A0  46  1D  F0    F.ð  
or or
[512  byte  offset] [512  byte  offset]
00  6E  1E  F0   .n.ð  
or or
[512  byte  offset] [512  byte  offset]
0F  00  E8  03 ..è.
or or
[512  byte  offset] [512  byte  offset]
FD  FF  FF  FF  nn  nn  00  00 ýÿÿÿ....
DOCX,  PPTX,  XLSX   50  4B  03  04  14  00  06  00 PK...... Look  for  50  4B  05  06  (PK..)  followed  by  18   Microsoft  Office  Open  XML  Format  (OOXML)  Document
additional  bytes NOTE:  There  is  no  subheader  for  MS  OOXML  files  as  there  is  with
at  the  end  of  the  file. DOC,  PPT,  and  XLS  files.  To  better  understand  the  format  of  these  files,
rename  any  OOXML  file  to  have  a  .ZIP  extension  and  then  unZIP  the  file;
look  at  the  resultant  file  named  [Content_Types].xml  to  see  the  content
types.  In  particular,  look  for  the  <Override  PartName=  tag,  where  you
will  find  word,  ppt,  or  xl,  respectively.
JPG FF  D8 ÿØ FF  D9 Digital  camera  JPG

PNG 89  50  4E  47  0D  0A  1A  0A ‰PNG.... 49  45  4E  44  AE  42  60  82  (IEND®B`‚...) Portable  Network  Graphics  file

PDF 25  50  44  46 %PDF 0A  25  25  45  4F  46  (.%%EOF) Adobe  Portable  Document  Format  and  Forms  Document  file
0A  25  25  45  4F  46  0A  (.%%EOF.)
0D  0A  25  25  45  4F  46  0D  0A  (..%%EOF..)
0D  25  25  45  4F  46  0D  (.%%EOF.)
NOTE:  There  may  be  multiple  end-­‐of-­‐file  marks  
within  the
file.  When  carving,  be  sure  to  get  the  last  one.
ZIP 50  4B  03  04 Trailer:  filename  50  4B  17  characters  00  00  00 KZIP  archive  file
Trailer:  (filename  PK  17  characters  ...)

PST 21  42  44  4E !BDN Microsoft  Outlook  Personal  Folder  File