winhex 使用方法

1、數(shù)據(jù)恢復(fù)分類：硬恢復(fù)和軟恢復(fù)。所謂硬恢復(fù)就是硬盤出現(xiàn)物理性損傷，比如有盤體壞道、電路板芯片燒毀、盤體異響，等故障，由此所導(dǎo)致的普通用戶不容易取出里面數(shù)據(jù)，那么我們將它修好，同時(shí)又保留里面的數(shù)據(jù)或后來恢復(fù)里面的數(shù)據(jù)，這些都叫數(shù)據(jù)恢復(fù)，只不過這些故障有容易的和困難的之分；所謂軟恢復(fù)，就是硬盤本身沒有物理損傷，而是由于人為或者病毒破壞所造成的數(shù)據(jù)丟失（比如誤格式化，誤分區(qū)），那么這樣的數(shù)據(jù)恢復(fù)就叫軟恢復(fù)。數(shù)據(jù)恢復(fù)的前提：數(shù)據(jù)不能被二次破壞、覆

2、蓋！關(guān)于數(shù)碼與碼制：數(shù)據(jù)恢復(fù)我們主要用十六進(jìn)制編輯器：Winhex（數(shù)據(jù)恢復(fù)首選軟件）我們先了解一下數(shù)據(jù)結(jié)構(gòu)：下面是一個(gè)分了三個(gè)區(qū)的整個(gè)硬盤的數(shù)據(jù)結(jié)構(gòu)MBRC盤EBRD盤EBRE盤MBR，即主引導(dǎo)紀(jì)錄，位于整個(gè)硬盤的0柱面0磁道1扇區(qū)，共占用了63個(gè)扇區(qū)，但實(shí)際只使用了1個(gè)扇區(qū)（512字節(jié)）。在總共512字節(jié)的主引導(dǎo)記錄中，MBR又可分為三部分：第一部分：引導(dǎo)代碼，占用了446個(gè)字節(jié)；第二部分：分區(qū)表，占用了64字節(jié)；第三部分：55AA

3、，結(jié)束標(biāo)志，占用了兩個(gè)字節(jié)。后面我們要說的用winhex軟件來恢復(fù)誤分區(qū)，主要就是恢復(fù)第二部分：分區(qū)表。引導(dǎo)代碼的作用：就是讓硬盤具備可以引導(dǎo)的功能。如果引導(dǎo)代碼丟失，分區(qū)表還在，那么這個(gè)硬盤作為從盤所有分區(qū)數(shù)據(jù)都還在，只是這個(gè)硬盤自己不能夠用來啟動(dòng)進(jìn)系統(tǒng)了。如果要恢復(fù)引導(dǎo)代碼，可以用DOS下的命令：FDISKMBR；這個(gè)命令只是用來恢復(fù)引導(dǎo)代碼，不會(huì)引起分區(qū)改變，丟失數(shù)據(jù)。另外，也可以用工具軟件，比如DISKGEN、WINHEX等。但

4、分區(qū)表如果丟失，后果就是整個(gè)硬盤一個(gè)分區(qū)沒有，就好象剛買來一個(gè)新硬盤沒有分過區(qū)一樣。是很多病毒喜歡破壞的區(qū)域。EBR，也叫做擴(kuò)展MBR（ExtendedMBR）。因?yàn)橹饕龑?dǎo)記錄MBR最多只能描述4個(gè)分區(qū)項(xiàng)，如果想要在一個(gè)硬盤上分多于4個(gè)區(qū)，就要采用擴(kuò)展MBR的辦法。MBR、EBR是分區(qū)產(chǎn)生的。比如MBR和EBR各都占用63個(gè)扇區(qū)，C盤占用1435329個(gè)扇區(qū)……那么數(shù)據(jù)結(jié)構(gòu)如下表：631435329631435329631253889源

5、面板”來打開）。最下面一欄是非常有用的輔助信息，如當(dāng)前扇區(qū)總扇區(qū)數(shù)目……等向下拉拉滾動(dòng)條，可以看到一個(gè)灰色的橫杠，每到一個(gè)橫杠為一個(gè)扇區(qū)，一個(gè)扇區(qū)共512字節(jié)，每兩個(gè)數(shù)字為一個(gè)字節(jié)，比如00。下面我們來分析一下MBR，因?yàn)榍懊嫖覀冋f過，前446個(gè)字節(jié)為引導(dǎo)代碼，對我們來說沒有意義，這里我們只分析分區(qū)表中的64個(gè)字節(jié)。分區(qū)表64個(gè)字節(jié)，一共可以描述4個(gè)分區(qū)表項(xiàng)，每一個(gè)分區(qū)表項(xiàng)可以描述一個(gè)主分區(qū)或一個(gè)擴(kuò)展分區(qū)（比如上面的分區(qū)表，第一個(gè)分區(qū)表

6、項(xiàng)描述主分區(qū)C盤，第二個(gè)分區(qū)表項(xiàng)描述擴(kuò)展分區(qū)，第三第四個(gè)分區(qū)表項(xiàng)填零未用）每一個(gè)分區(qū)表項(xiàng)各占16個(gè)字節(jié)，各字節(jié)含義如下：（H表示16進(jìn)制）字節(jié)位置內(nèi)容及含義第1字節(jié)引導(dǎo)標(biāo)志。若值為80H表示活動(dòng)分區(qū)；若值為00H表示非活動(dòng)分區(qū)。第2、3、4字節(jié)本分區(qū)的起始磁頭號(hào)、扇區(qū)號(hào)、柱面號(hào)第5字節(jié)分區(qū)類型符：00H——表示該分區(qū)未用06H——FAT16基本分區(qū)0BH——FAT32基本分區(qū)05H——擴(kuò)展分區(qū)07H——NTFS分區(qū)0FH——（LBA模式