winhex 使用方法

1、數據恢復分類：硬恢復和軟恢復。所謂硬恢復就是硬盤出現物理性損傷，比如有盤體壞道、電路板芯片燒毀、盤體異響，等故障，由此所導致的普通用戶不容易取出里面數據，那么我們將它修好，同時又保留里面的數據或后來恢復里面的數據，這些都叫數據恢復，只不過這些故障有容易的和困難的之分；所謂軟恢復，就是硬盤本身沒有物理損傷，而是由于人為或者病毒破壞所造成的數據丟失（比如誤格式化，誤分區(qū)），那么這樣的數據恢復就叫軟恢復。數據恢復的前提：數據不能被二次破壞、覆

2、蓋！關于數碼與碼制：數據恢復我們主要用十六進制編輯器：Winhex（數據恢復首選軟件）我們先了解一下數據結構：下面是一個分了三個區(qū)的整個硬盤的數據結構MBRC盤EBRD盤EBRE盤MBR，即主引導紀錄，位于整個硬盤的0柱面0磁道1扇區(qū)，共占用了63個扇區(qū)，但實際只使用了1個扇區(qū)（512字節(jié)）。在總共512字節(jié)的主引導記錄中，MBR又可分為三部分：第一部分：引導代碼，占用了446個字節(jié)；第二部分：分區(qū)表，占用了64字節(jié)；第三部分：55AA

3、，結束標志，占用了兩個字節(jié)。后面我們要說的用winhex軟件來恢復誤分區(qū)，主要就是恢復第二部分：分區(qū)表。引導代碼的作用：就是讓硬盤具備可以引導的功能。如果引導代碼丟失，分區(qū)表還在，那么這個硬盤作為從盤所有分區(qū)數據都還在，只是這個硬盤自己不能夠用來啟動進系統(tǒng)了。如果要恢復引導代碼，可以用DOS下的命令：FDISKMBR；這個命令只是用來恢復引導代碼，不會引起分區(qū)改變，丟失數據。另外，也可以用工具軟件，比如DISKGEN、WINHEX等。但

4、分區(qū)表如果丟失，后果就是整個硬盤一個分區(qū)沒有，就好象剛買來一個新硬盤沒有分過區(qū)一樣。是很多病毒喜歡破壞的區(qū)域。EBR，也叫做擴展MBR（ExtendedMBR）。因為主引導記錄MBR最多只能描述4個分區(qū)項，如果想要在一個硬盤上分多于4個區(qū)，就要采用擴展MBR的辦法。MBR、EBR是分區(qū)產生的。比如MBR和EBR各都占用63個扇區(qū)，C盤占用1435329個扇區(qū)……那么數據結構如下表：631435329631435329631253889源

5、面板”來打開）。最下面一欄是非常有用的輔助信息，如當前扇區(qū)總扇區(qū)數目……等向下拉拉滾動條，可以看到一個灰色的橫杠，每到一個橫杠為一個扇區(qū)，一個扇區(qū)共512字節(jié)，每兩個數字為一個字節(jié)，比如00。下面我們來分析一下MBR，因為前面我們說過，前446個字節(jié)為引導代碼，對我們來說沒有意義，這里我們只分析分區(qū)表中的64個字節(jié)。分區(qū)表64個字節(jié)，一共可以描述4個分區(qū)表項，每一個分區(qū)表項可以描述一個主分區(qū)或一個擴展分區(qū)（比如上面的分區(qū)表，第一個分區(qū)表

6、項描述主分區(qū)C盤，第二個分區(qū)表項描述擴展分區(qū)，第三第四個分區(qū)表項填零未用）每一個分區(qū)表項各占16個字節(jié)，各字節(jié)含義如下：（H表示16進制）字節(jié)位置內容及含義第1字節(jié)引導標志。若值為80H表示活動分區(qū)；若值為00H表示非活動分區(qū)。第2、3、4字節(jié)本分區(qū)的起始磁頭號、扇區(qū)號、柱面號第5字節(jié)分區(qū)類型符：00H——表示該分區(qū)未用06H——FAT16基本分區(qū)0BH——FAT32基本分區(qū)05H——擴展分區(qū)07H——NTFS分區(qū)0FH——（LBA模式