WinHex数据恢复教程笔记.docx

第页WinHex数据恢复教程笔记WinHex是在Windows下运行的十六进制编辑软件，此软件功能非常强大。有完善的分区管理功能和文件管理功能，能自动分析分区链和文件簇链，能对硬盘进行不同方式不同程度的备份，甚至克隆整个硬盘；它能够编辑任何一种文件类型的二进制内容（用十六进制显示）其磁盘编辑器可以编辑物理磁盘或逻辑磁盘的任意扇区，是手工恢复数据的首选工具软件。数据恢复的前提:数据不能被二次破坏、覆盖！数据恢复首选软件用十六进制编辑器:WinHexMBR、EBR是分区产生的。MBR主引导记录大小是固定的，位于整个硬盘的0柱面0磁道1扇区。共占用了63个扇区，实际只使用了1个扇区，即硬盘第一扇区中的512字节。DBRFAT16没有备份文件跳转指令EB3C90FAT16DBR是分区引导扇区，是由FORMAT高级格式化命令写到该扇区的内容，DBR是由硬盘的MBR装载的程序段。DBR装入内存后，即开始执行该引导程序段，其主要功能是完成操作系统的自举并将控制权交给操作系统。每个分区都有引导扇区，但只有被设为活动分区才会被MBR装的DBR入内存运行FAT32文件跳转指令EB5890DBR备份在第6扇区有第一扇区的备份。FATNTFS文件跳转指令EB5290DBR备份在最后一个扇区ntfs格式没有FAT表。表32扇区04H分区系统标志当该值为00H时，表示此分区为不可识别的系统；为04H时该分区为FAT16分区；为05H或0FH该分区为扩展分区；为0B时该分区为FAT32分区;F8HFFHFFH0FH开始的FAT表，（对于FAT16是以F8HFFH开始的），每个FAT项占32位（4个字节），FAT16的每个FAT项占16位（2个字节），也就是说FAT和簇是一一对应的关系，对于FAT32的FAT来说每4个字节为1个FAT项.（对于FAT16的FAT每2个字节为一个FAT项）512字节的MBR主引导记录又分为三部分:1.主引导扇区里的主引导程序代码（bootloader），占446个字节；2.硬盘分区表DPT（DiskPartitiontable），占64字节；主分区表项1占16字节，447-461每一个分区表项各占16个字节.硬盘中分区有多少以及每一分区的大小都记在其中。3.硬盘55AA有效结束标志magicnumber，占两个字节。MBR被清零的话，硬盘将不能引导。如果0号扇区被清零，硬盘分区将不被系统识别。提示未初始化。备份MBR只要备份前512字节就可以了，包含分区表。用WinHex软件来恢复误分区，主要就是恢复第二部分:分区表。主引导程序代码（bootloader）的作用:就是让硬盘具备可以引导的功能。如果引导代码丢失，分区表还在，那么这个硬盘作为从盘所有分区数据都还在，只是这个硬盘自己不能够用来启动进系统了。如果要恢复引导代码，可以用DOS下的命令:FDISK/MBR；这个命令只是用来恢复引导代码，不会引起分区改变，丢失数据。也可以用工具软件,比如:HYPERLINK"http://www.baidu.com/link?url=Hn5k5PtM7a7Dfg8SoPkE7dF-CYTQwp-Gio2oZ7BuEMZE1WTbPFbufWcLGXMD7Ax3ATJxKtwfnwZVa2BsPu9OHa&wd&eqid=f629d2bb000ac89e0000000556921f4a"\hDiskGenius、WinHex等。EBR，也叫做扩展MBR（ExtendedMBR）。占63个扇区。因为主引导记录MBR最多只能描述4个分区项，如果一个硬盘上分多于4个区，就用EBR.EBR的结构和MBR的结构是一样的，所以在倒数第五行倒数第二个字节应该是0001，并且前446个字节应该是0。DBR的备份:分区格式是FAT32的话，备份在分区的6扇区。NTFS分区格式的话，在分区的最后一个扇区。而每一个分区又由DBR、FAT1、FAT2、DIR、DATA5部分组成。分区表:分区表64个字节，一共描述4个分区表项，每个分区表项可以描述一个主分区或一个扩展分区.（比如上面的分区表，第一个分区表项描述主分区C盘，第二个分区表项描述扩展分区，第三第四个分区表项填零未用）每一个分区表项各占16个字节。注意:真正的隐含扇区数应该反过来填写！主分区图:主分区表项1占16字节，447-461804102000715F5FF001000000010B80580激活标记表示活动分区41020007NTFS分区15F5FF分区的结束物理地址位置9-12字节0010000000001000=4096本分区之前已用了4096扇区13-16字节=C盘大小0010B805科学计算器16进制转换10进制，05B81000=95948800扇区*512=/1