winhex数据恢复教程 WinHex使用方法与使用WinHex恢复硬盘实例

WinHex使用方法与使用WinHex恢复硬盘实例

数据的逻辑运算

逻辑或：逻辑加运算，运算符：+、OR等，当输入变量有一个满足时（例如，为1有效），输出就有效。所有输入变量均不满足条件（例如，为0），输出就无效。例如0+0=0；0+1=1；1+1=1逻辑与：逻辑乘运算，指所有输入都同时满足条件（例如，都为1有效），输出才有效（如，为1），否则输出无效（为0）.例如1*1=1；0*1=0逻辑非：逻辑反运算。运算符为在变量上画一条横线。输入变量中为1时，输出为0，输入为0，输出为1.也就是0的非为1，1的非为0。逻辑异或：如果AB两个值是相同，则结果为0，如果AB两个值是不相同，则结果为1，0⊕0=0；1⊕0=1；1⊕1=0.（这种逻辑运算在RAID中是一种很重要的算法，熟练掌握）

数据结构的分类

数据结构关系分类：线性结构，树结构，图结构。

数据结构按层次分类有两种：数据的逻辑结构和数据的物理结构

数据的逻辑结构：线性关系和非线性关系。非线性结构包括图结构和树结构。

数据的物理结构：是数据逻辑结构在计算机中的表示和实现，称数据“存储结构”

存储结构：顺序、链式、索引、散列。

树结构：在文件系统中使用最多 。

winhex窗口认识：

打开的是一个原始磁盘镜像文件，按页面浏览就会产生诸多不便 ，会让分析，定位扇区及解释文件 系统等常规工作无法完成，这时就需要将此文件强制按照每512字节/扇区进行处理，“专业工具——将镜像文件转换为磁盘”

选择扇区数据：在起始位置，鼠标右击选择“选块起始位置”，在尾部数据鼠标选择“选块尾部”，然后复制选块

。将数据 写入到相应的位置。

粘贴与写入的区别：

粘贴：

，会另起一行，粘贴数据。

写入：会在选定的数据覆盖原有数据。

数据恢复工具有(存放在百度网盘)：

WinHex、DiskExplorer for Fat、DiskExplorer for Fat、DiskExplorer for NTFS、DiskExplorer for Linux

虚拟硬盘工具：win7 8 10 都自带。计算机右击“管理”，选择磁盘管理，创建VHD。选择位置保存文件。

引导程序占用的前400字节:

以下是十进制的表示方法（点击偏移地址：输入399，就是引导程序占用的前400字节）

以下是十六进制表示方法（点击偏移地址：输入1B7，就是引导程序占用的前400字节）

WIN磁盘标签占用引导程序后的4个字节，WIN系统对硬盘初始化时写入的一个磁盘标签。

86 67 13 36

分区表：1BEH~1FDH的64个字节，是MBR中非常重要的一个结构。

结束标志：“55 AA”1FEH~1FFH.（H表示十六进制，不需要在偏移量输入H）

总结：首先是引导程序前440字节，接着4个字节是磁盘签名标签，空两个字节后是分区表占用64字节，最后是结束标志55AA。

一块硬盘如果还是系统引导盘，MBR扇区中可以没有引导程序，但是绝对不能没有磁盘签名。

磁盘签名实验结果：

将磁盘签名删除后，重新挂载，WINhex工具查看磁盘签名低位字节有改变，高位与原来还是一致的

原来磁盘签名

修改后磁盘签名。13，36是高位。再一次删除磁盘签名，另外一台计算机没有给该硬盘写入磁盘签名，就会提示没有初始化。

分区表的作用： 用来管理硬盘的分区的，如果分区表被清除或者破坏，则硬盘的分区就会丢失。

结束标志 ：在执行MBR的引导程序时，会验证MBR扇区最后两个字节是否为"55 AA"，如果 是，正常执行，否则，报错。

如果一块MBR结构完好并且有分区的硬盘，其结束标志"55aa"被破坏后，该硬盘的分区也将无法读取，硬盘会成为“没有初始化”状态。

主磁盘分区结构分析：

结束标志前64字节中，以16字节为一个分区表项来描述一个分区的结构

(80)(02 03 00)(07)(A7 20 07)(80 00 00 00)(00 E0 01 00)

(80):表示C盘为活动分区（可引导的）。即系统会从C盘活动，只能是00H和80H，

(02 03 00)：表示C盘的起始扇区为(0柱面 03扇区 02磁头)，注意是反过来看。

(07)：表示C盘的文件系统为NTFS。

(A7 20 07)：表示C盘的结束扇区为(柱面:07=(00000111)2=(4+2+1)10 扇区:20=(00100000)2=(32)10 磁头:A7=(1010 0111)2=(128+32+7)10)，注意是反过来看。注：有1的地方相加。

(80 00 00 00)：反向(00 00 00 80)16=（128）10表示C盘前面已有128个扇区，这128个扇区为系统隐藏扇区.大于1字节的数值被以低字节在前的存储格式顺序保存下来，按照习惯的高位在前的方式表示为(00 00 00 80)

(00 E0 01 00)：反向(00 01 E0 00)16=

07：表示NTFS .05:表示EXTENDED(扩展分区)，0B：表示FAT32格式

一个字节8位表示。

128（第一分区开始扇区数）+122880（第一分区的总扇区）=123880（第二分区的开始扇区号）

123008是第二个分区扇区开始，

点击扇区输入“123008”，到第二个扇区，

扩展分区的结构分析

EBR中分区表中第一项描述第一个逻辑驱动器，第二项指向下一个逻辑驱动器的EBR。如果不存在下一个驱动器，第二项就不需要使用。

首先查看0扇区分区表项，第一个分区表：80表示活动区，07表示NTFS。第二个分区表0表示非活动区，0F/05表示扩展分区.

表示下一个起始扇区位置。

查找“209,719,296”扇区，查看第一分区表项是用来管理第一个逻辑驱动器的，开始于2048号扇区，这个值就不是绝对值了，而是个相对值，也就是说这值EBR1开始扇区209,719,296作为起始扇区来定位。

第二分区表，分区类型为05H，为什么在扩展分区中还有扩展分区？因为扩展分区是一种链式结构来管理的。EBR扇区中第一个分区表项总是描述当前的逻辑驱动器，第二个分区表项则链接到下一个EBR扇区，583,012,352也是相对值。也就是说这值EBR1开始扇区209,719,296作为起始扇区来定位。583,012,352+209,719,296=792731648下一个逻辑驱动器开始扇区

查找”792731648“扇区，第一分区表2048是相对值，是以MBR2"792731648"作为起始扇区来定位。第二分区表”1,163,927,552“相对值，是以EBR1”209,719,296“所有扇区为起始点来定位的，而不是EBR2，这一点很重要，一定不要搞错。1,163,927,552+209,719,296=1373646848

查找”1373646848“扇区，发现只能第一个分区表中有数据，第二分区表中没有数据，这说明是主扩展分区中的最后 一个EBR扇区，因为最后一个，所有 就没有下一个扩展分区了，第二个分区表自然就不再使用了。

总结：一共四个盘，一个主磁盘区，另外三个是逻辑驱动器。在0扇区中，第一分区表是可以看出主分区的格式，分区是从2048开始的。第二分区表描述是一个扩展分区的，因为类型是0F/05，

，这个参数很重要，下面磁盘的绝对值起始扇区值要与这值相加。查找209719296扇区，查找这个扇区后，第一个分区表是当前逻辑驱动器参数，扇区2048是相对值是基于EBR1（第一逻辑驱动器）”209719296“作为起始扇区来定位的。第二分区表，分区开始位置也是相对值，与（第一逻辑驱动器）”209719296“作为起始扇区来定位相加，得出第二个逻辑驱动器开始扇区，第一分区表的开始分区值是将第二个逻辑驱动器开始扇区作为定位的。第二个分区表中的开始分区值要与第一个开始扇区相加，得出第三个逻辑驱动器。第三个逻辑驱动器第一个分区表，开始分区值是把第三个逻辑驱动器开始扇区作为定位。第二个分区表的开始分区值与EBR1开始扇区值相加，注意不是EBR2开始扇区值。

我们要计算出每个逻辑驱动器开始扇区值，第一个逻辑驱动器值可以从主磁盘中第二个分区表开始分区获取，得出第二个逻辑驱动器开始扇区值。第三个逻辑驱动器开始扇区值从第二个逻辑驱动器第二分区表中开始分区值与第一个逻辑驱动器开始扇区值相加。解决了每个逻辑驱动器开始扇区值。每个逻辑驱动器第一分区表的开始分区值是相对值，将每个逻辑驱动器开始扇区作为定位。

MBR及EBR被破坏的分区恢复实例

症状如下：

磁盘显示没有初始化，分区丢失。可以确定该硬盘MBR结构一定是有问题的。

需要将故障盘全部扇区镜像到另一块盘中。

恢复思路和方法：

修复MBR引导程序及结束标志，MBR扇区结构由引导结构、WIN磁盘签名、分区表、结束标志四部分组成。MBR的引导程序具有公共引导特性，找一块正常硬盘的MBR扇区中复制这段代码，到故障盘，为了避免两块硬盘的磁盘签名相同，可以把磁盘签名的4个字节稍作修改。

第三步：写入结束标志：“55 AA”1FEH~1FFH.

第四步：结束标志前的64个字节。分区表：1BEH~1FDH的64个字节，全部清零，方便重建分区表。

修复第一分区（DBR指主磁盘区，EBR指扩展分区）

跳转到硬盘63号或128扇区（为什么是63或128？因为第一个开始扇区是63或128），查看DBR是否完好？

跳转128后，点击Boot Sector NTFS

查看这三个数值：分别是分区类型，开始扇区，分区大小102399（注：这数值要加1，即102400），得到该数值后，可以填写到MBR第一个分区表中，第一分区装有操作系统，要激活填写80，C/H/S，已经不起作用，可以随便写开始C/H/S:1/1/1，结束C/H/S:2/2/2.分区类型：07，分区开始扇区128，分区大小102400，第一分区修复完成。

修复第二分区：

将第一分区的开始位置128+分区大小102400，结果为102528，跳转到102528扇区，发现是DBR,使

使用NTFS，将分区类型 开始扇区 分区大小，填写到MBR模板中，注意NTFS里的分区大小要加1.第二个分区恢复完成。

修复第三个分区

将第二分区表中的开始位置与分区大小相加，得到14378175，跳转到这扇区，发现没有镜像成功，再往后转63个扇区，NTFS查看参数，跳转14378175扇区清零，扇区未尾填入结束标志55AA，打开MBR模板填写分区表第一项，注分区表第二项暂填写 。

修复第四个分区

将扩展分区开始扇区14378175加上逻辑驱动器1的开始扇区号63，再加上逻辑驱动器1的大小，结果为27888840，跳转到27888840扇区，发现没有镜像成功，再往后转63个扇区，NTFS查看参数，跳转27888840扇区清零，扇区未尾填入结束标志55AA，打开MBR模板填写分区表第一项，

填写主扩展分区表项和子扩展分区表项

扩展分区开始扇区14378175，加上逻辑驱动器1开始扇区63加上逻辑驱动器1大小，加上逻辑驱动器2开始扇区63加上逻辑驱动器1大小的和）（第二个空白），209719296数值是由上面一个分区表开始扇区与分区大小的和，跳转到MBR扇区并打开模板填入数值到第三个分区表，注：MBR扇区第一分区表是第一主磁盘器，第二分区表是第二主磁盘器，第三分区表是扩展分区05/0F的数值。

子扩展分区的分区表项应该填写在EBR1（逻辑驱动器1）跳转到14378175扇区，填写第二分区表项，开始扇区为第一分区表项开始扇区和分区大小的和。子扩展分区大小 为开始分区63加上逻辑驱动器2的大小31872960

以上数值为案例数值，可能与实际不不一样。

原来有四个分区，由于一次操作，其中一个分区被删除。

恢复思路：

分区误删除后，主要就是对分区表进行重建。打开MBR模板，查看分区表数值是正常的，接下来跳转到主扩展分区05分区类型的开始位置，，打开EBR2该扇区的模板，第一分区表项是管理逻辑驱动器1，发现第二分区表项开始位置和分区大小是错误的。我们按照错误的开始扇区跳转到所在扇区，其中分区表只使用了一个分区青藏，显然这是最后一个逻辑驱动器的EBR扇区，也就是EBR3，其管理的是硬盘的最后分区。分析发现，EBR1的指针直接指向了EBR3，把EBR2跳过去，而丢失的那个分区正是由EBR2管理的。EBR2被跳过去也就是不起作用。这正是分区丢失的原因所在。我们把EBR2的起始扇区，也就是EBR2第一分区表项的开始扇区与分区大小的和，这个是相对一个扇区号，转换成绝对扇区号（相对扇区号+MBR第二项分区表开始扇区），跳转后，EBR2分区表中还存在，

如何让EBR1R 指针指向EBR2所在扇区的呢。只需要修改EBR1的分区表项2即可。

将EBR1的第二分区表项的开始扇区修改为第一分区表项的开始扇区和分区大小的和，第二分区表项的分区大小填写EBR2第一分区表项的开始扇区和分区大小 ，重启，恢复完成。

普通硬盘数据如何恢复

很多朋友都认为，数据恢复是一项专业性很强的工作，需要对磁盘结构和文件系统有透彻的了解，真的有那么神秘么?其实针对一些简单的软件类数据丢失，可以自己动手就能解决问题，不仅可以省下一大笔费用，而且对自己的电脑水平的提高也是一个难得的机会。下面聊一下关于一些数据回复的解决办法。

可是一旦遭遇数据危机，保持一份从容不迫的心态非常重要，出现手忙脚乱的情况则很可能造成更大的破坏，让本来可以恢复的数据变得无法挽救。事实上，自己独立挽救万元价值的数据并非是天方谭谈，只要掌握一些操作技巧并方法得当，大家完全可能会扮演拯救数据危机的英雄角色。

要对症下药，哪些数据可以挽救?数据出现问题主要包括两大类:逻辑问题和硬件问题，相对应的恢复也分别称为软件恢复和硬件恢复。软件恢复是指通过软件的方式进行数据修复，整个过程并不涉及硬件维修。而导致数据丢失的原因往往是病毒感染、误格式化、误分区、误克隆、误删除、操作断电等。

很多软件类故障的特点为:无法进入操作系统、文件无法读取、文件无法被关联的应用程序打开、文件丢失、分区丢失、乱码显示等。事实上，造成软件类数据丢失的原因十分复杂，每种情况都有特定的症状出现，或者多种症状同时出现。一般情况下，只要数据区没有被彻底覆盖，个人用户通过一些特定的软件，基本上都可以顺利恢复。

下面以最普通的删除操作为例，实际上此时保存在硬盘中的文件并没有被完全覆盖掉，通过一些特定的软件方法，能够按照主引导区、分区、DBR、FAT，最后文件实体恢复的顺序来解决;当然也应客观承认的是，尽管软件类数据恢复有很多细节性的技巧与难以简单表达的经验，但是也的确存在现有软件恢复技术无能为力的情况。如果硬盘中的数据被完全覆盖或者多次被部分覆盖，很可能使用任何软件也无法修复。

故障：硬盘空间分配不合理，使用分区软件从新分区，或者合并分区，导致文件丢失，或者无法打开。

其实这种故障一般都是分区表错误引起的，分区表故障在各种软件故障中也属于常见的，这里推荐大家使用由我国产的DiskGenius软件。该软件可以直接在纯DOS环境下运行，而且采用直观的中文界面，因此它对于英文不好的用户而言是最佳的选择。

将DiskGenius软件复制到DOS启动盘之后可以直接运行，进入DiskGenius的主界面后，按下F10就能轻松地自动恢复硬盘分区表，而且这一招非常有效。DiskGenius将首先搜索0柱面0磁头从2扇区开始的隐含扇区，寻找被挪动过的分区表。然后搜索每个磁头的第一个扇区，其中搜索过程可以采用“自动”与“交互”两种方式进行。

自动方式适用于大多数情况，建议大家选择这种方案。通过以上对主引导区以及分区表的修复，大家才可能让一个遭受严重破坏的硬盘得以在Windows下正确看到分区，进而为其他操作打下坚实的基础。

手动修复:在部分情况下，可能任何软件都无法找到备份的分区表，此时只能手动修改。手动修改将完全凭借经验，在WinHex等软件下直接操作分区表数据。使用WinHex打开磁盘后。其中从“80”开始到“55AA”结束的DPT硬盘分区表相当关键，我们这里截图展示的硬盘分区表是完好的，因此并不需要修改。

硬盘数据恢复：避免悲剧，学会这招就能轻松搞定

在这个数字化时代，数据的重要性日益凸显，我们的工作和生活已经和各种电子设备和数据紧密联系在一起。硬盘、U盘、固态硬盘这些看似普通的存储设备，却承载着我们的重要数据，比如，照片、工作文档、视频等。如果这些重要数据意外丢失了，那么无疑将是巨大的损失。硬盘数据丢失问题在平时也很常见，甚至成了常态，我们该如何应对呢？简单的讲，要掌握硬盘数据恢复技巧，关键时刻可以自己挽救丢失的数据。本文，小编会跟大家讨论一个简单实用的硬盘数据恢复方法。

首先，简单了解一下常用的硬盘数据丢失原因，帮助大家预警数据丢失问题。造成硬盘数据丢失的原因非常多，这里只列举一些出现频率比较高的：

· 软件层面的故障：硬盘打不开提示未被格式化、一些第三方软件问题等。· 硬件层面的故障：大量坏道、磁头损坏、不认盘、部件老化等。· 一些误操作：误删除、误格式化、误清空回收站等。· 一些意外状况：意外断电、摔落、磕碰、自然灾害等。

恢复硬盘数据的时候，需要注意的一些事项。如果自己没有什么经验，也不要慌，了解到了数据恢复的基本原则，在恢复数据期间，可以顺利完成任务：

当遭遇到硬盘数据丢失问题的时候，要警惕数据覆盖。应该立刻停止对硬盘的任何写入操作，因为继续使用硬盘可能会造成数据覆盖，使数据恢复变成不可能。

在恢复数据之前，先明确哪些文件是否最为关键的，哪些是可以有替代方案的。这样的恢复数据的时候，可以有优先级，尤其是当硬盘存在一些硬件层面的故障时。

大部分的硬盘数据恢复任务，借助恢复软件可以解决问题，但是这仅限于逻辑层面的数据恢复。如果硬盘出现了严重的硬件故障，那么需要将硬盘交给专业人员处理了。

现在就一起来看看，硬盘数据恢复的具体方法吧。首先，要查看下备份。如果丢失的文件可以在备份中找到，那么硬盘数据恢复就变得异常简单。根据备份方式，将数据还原一下即可。备份不存在的情况下，可以选择数据恢复软件。支持硬盘数据恢复的软件非常多，例如，DiskGenius，数据恢复精灵，WinHex，TestDisk, PhotoRec等等。可以尝试不同的软件，然后选择那个恢复效果好的软件。硬盘恢复软件的具体操作大同小异，大致分为：搜索文件、预览文件和导出文件这三个阶段。下面演示一下，具体的硬盘恢复数据流程：

第一步，运行DiskGenius数据恢复软件免费试用版，在软件里找到需要恢复数据的硬盘分区。

第二步，选中丢了数据的硬盘分区，然后点击“恢复文件”按钮。之后点击“开始”按钮，让软件开始搜索丢失的数据。

第三步，搜索结束后，可以在软件里寻找想要的文件。然后双击文件进行预览，这样可以判断文件是否正确以及是否损坏了，提前了解数据的可恢复性。

第四步，把想要的文件复制导出到其他位置，完成恢复任务。

总的来说，掌握硬盘数据恢复的技巧就像手握一把保护数据的利剑，可以帮助我们避免悲剧并在数据丢失的时刻施以援手。最后要提醒大家，恢复数据是亡羊补牢，保护数据的王道依然是及时做好备份。无论是个人用户还是企业，备份数据都是最基本的安全措施之一。备份数据的时候，可以将数据拷贝到移动硬盘、云盘等，确保定期更新备份。此外，还可以将操作系统进行备份，当出现系统崩溃的时候，可以及时解决问题。最后，建议及时安装系统更新补丁，升级安全软件，减少安全漏洞对数据的威胁。