winhex数据手工恢复教程.pdf

winhex教程
winhex

数据恢复分类：硬恢复和软恢复。所谓硬恢复就是硬盘出现物理性损伤，比如
有盘体坏道、电路板芯片烧毁、盘体异响，等故障，由此所导致的普通用户不
容易取出里面数据，那么我们将它修好，同时又保留里面的数据或后来恢复里
面的数据，这些都叫数据恢复，只不过这些故障有容易的和困难的之分；所谓
软恢复，就是硬盘本身没有物理损伤，而是由于人为或者病毒破坏所造成的数
据丢失（比如误格式化，误分区），那么这样的数据恢复就叫软恢复。

这里呢，我们主要介绍软恢复，因为硬恢复还需要购买一些工具设备（比如
pc3000,电烙铁，各种芯片、电路板），而且还需要懂一点点电路基础，我们这
里所讲到的所有的知识，涉及面广，层次深，既有数据结构原理，为我们手工
准确恢复数据提供依据，又有各种数据恢复软件的使用方法及技巧，为我们快
速恢复数据提供便利，而且所有软件均为网上下载，不需要我们投资一分钱。

数据恢复的前提：数据不能被二次破坏、覆盖！

关于数码与码制：

关于二进制、十六进制、八进制它们之间的转换我不想多说，因为他对我们数
据恢复来说帮助不大，而且很容易把我们绕晕。如果你感兴趣想多了解一些，
可以到百度里面去搜一下，这方面资料已经很多了，就不需要我再多说了。

数据恢复我们主要用十六进制编辑器：Winhex（数据恢复首选软件）

我们先了解一下数据结构：

下面是一个分了三个区的整个硬盘的数据结构

MBRC盘EBRD盘EBRE盘

MBR，即主引导纪录，位于整个硬盘的0柱面0磁道1扇区，共占用了63个扇
区，但实际只使用了1个扇区（512字节）。在总共512字节的主引导记录中，
MBR又可分为三部分：第一部分：引导代码，占用了446个字节；第二部分：
分区表，占用了64字节；第三部分：55AA，结束标志，占用了两个字节。后面
我们要说的用winhex软件来恢复误分区，主要就是恢复第二部分：分区表。

引导代码的作用：就是让硬盘具备可以引导的功能。如果引导代码丢失，分区
表还在，那么这个硬盘作为从盘所有分区数据都还在，只是这个硬盘自己不能
够用来启动进系统了。如果要恢复引导代码，可以用DOS下的命令：FDISK/MBR；
这个命令只是用来恢复引导代码，不会引起分区改变，丢失数据。另外，也可
以用工具软件，比如DISKGEN、WINHEX等。

但分区表如果丢失，后果就是整个硬盘一个分区没有，就好象刚买来一个新硬
盘没有分过区一样。是很多病毒喜欢破坏的区域。

EBR，也叫做扩展MBR（ExtendedMBR）。因为主引导记录MBR最多只能描述4
个分区项，如果想要在一个硬盘上分多于4个区，就要采用扩展MBR的办法。

MBR、EBR是分区产生的。

比如MBR和EBR各都占用63个扇区，C盘占用1435329个扇区……那么数据结
构如下表：

631435329631435329631253889
MBRC盘EBRD盘EBRE盘
扩展分区

而每一个分区又由DBR、FAT1、FAT2、DIR、DATA5部分组成：比如C盘的数据
结构：

C盘
DBRFAT1FAT2DIRDATA

Winhex

Winhex是使用最多的一款工具软件，是在Windows下运行的十六进制编辑软件，
此软件功能非常强大，有完善的分区管理功能和文件管理功能，能自动分析分
区链和文件簇链，能对硬盘进行不同方式不同程度的备份，甚至克隆整个硬盘；
它能够编辑任何一种文件类型的二进制内容（用十六进制显示）其磁盘编辑器
可以编辑物理磁盘或逻辑磁盘的任意扇区，是手工恢复数据的首选工具软件。

首先要安装Winhex，安装完了就可以启动winhex了，启动画面如下：首先出
现的是启动中心对话框。
这里我们要对磁盘进行操作，就选择“打开磁盘”，出现“编辑磁盘”对话框：
在这个对话框里，我们可以选择对单个分区打开，也可以对整个硬盘打开，HD0
是我现在正用的西部数据40G系统盘，HD1是我们要分析的硬盘，迈拓2G。这
里我们就选择打开HD1整个硬盘，再点确定.然后我们就看到了Winhex的整个
工作界面。

最上面的是菜单栏和工具栏，下面最大的窗口是工作区，现在看到的是硬盘的
第一个扇区的内容，以十六进制进行显示，并在右边显示相应的ASCII码，右
边是详细资源面板，分为五个部分：状态、容量、当前位置、窗口情况和剪贴
板情况。这些情况对把握整个硬盘的情况非常有帮助。另外，在其上单击鼠标
右键，可以将详细资源面板与窗口对换位置，或关闭资源面板。（如果关闭了
资源面板可以通过“察看”菜单——“显示”命令——“详细资源面板”来打
开）。
最下面一栏是非常有用的辅助信息，如当前扇区/总扇区数目……等
向下拉拉滚动条，可以看到一个灰色的横杠，每到一个横杠为