一個(gè)專(zhuān)業(yè)的數(shù)據(jù)恢復(fù)技術(shù)員對(duì)于winhex一個(gè)并不陌生，winhex是一款專(zhuān)業(yè)的十六進(jìn)制編輯器，它能夠解決各種文件數(shù)據(jù)方面的緊急情況，使用軟件可以診斷文件發(fā)生的各種錯(cuò)誤問(wèn)題，并且還能恢復(fù)用戶(hù)不小心刪除的文件，找回因文件損壞而丟失的數(shù)據(jù)等，但是很多朋友可能還不知道winhex怎么恢復(fù)數(shù)據(jù)，為此小編就給大家?guī)?lái)了winhex數(shù)據(jù)恢復(fù)教程，一起看一看吧！

winhex數(shù)據(jù)恢復(fù)教程

恢復(fù)圖片

首先我們?cè)谙到y(tǒng)H盤(pán)存放一個(gè)cat.jpg的圖片文件，通過(guò)WinHex掛載該磁盤(pán)驅(qū)動(dòng)器，如下圖所示文件瀏覽窗口紅色框中就是該cat.jpg文件，通過(guò)十六進(jìn)制查看器，該文件存放的位置對(duì)應(yīng)偏移地址為0058B000，其中jpg圖片格式文件頭對(duì)應(yīng)的十六進(jìn)制碼為FFD8FF，如圖中十六進(jìn)制查看器的紅色框中所示就是該cat.jpg文件頭，后面的十六進(jìn)制數(shù)就對(duì)應(yīng)該cat.jpg文件。

按住Shift+Ctrl鍵徹底刪除cat.jpg文件后，如下圖所示在WinHex的文件瀏覽窗口已經(jīng)看不到該cat.jpg文件，但是通過(guò)十六進(jìn)制查看器在0058B000位置，仍然可以看到cat.jpg文件原本占據(jù)的位置數(shù)據(jù)沒(méi)有變，這也證明了基礎(chǔ)理論中刪除的數(shù)據(jù)沒(méi)有立刻被覆蓋，只是文件索引標(biāo)識(shí)為已刪除，給后續(xù)數(shù)據(jù)恢復(fù)做好了準(zhǔn)備。

WinHex在工具-磁盤(pán)工具-通過(guò)文件類(lèi)型恢復(fù)中支持多種文件類(lèi)型的數(shù)據(jù)恢復(fù)，如下圖所示，僅圖片類(lèi)型就支持包括JPEG、PNG、GIF、TIFF等多種類(lèi)型，此處選擇恢復(fù)文件的輸出位置，一定不要與已刪除文件在一個(gè)盤(pán)符，防止已刪除文件的存儲(chǔ)位置被不小心覆蓋，點(diǎn)擊確定即可得到恢復(fù)文件，如下圖。

恢復(fù)分區(qū)

通常情況下，EBR不會(huì)遭到破壞，或者被破壞的幾率極低，因此實(shí)踐中對(duì)MBR的修復(fù)比較常見(jiàn)，例如某硬盤(pán)的MBR由于病毒的破壞被刪除了，針對(duì)分區(qū)的恢復(fù)，這里舉個(gè)比較有代表性的例子，即針對(duì)分區(qū)表的恢復(fù)。

我們這里有一塊測(cè)試磁盤(pán)如下圖所示，提示異常分區(qū)未分配沒(méi)有初始化，但是我們之前使用時(shí)這塊磁盤(pán)有兩塊分區(qū)，存儲(chǔ)的也都有數(shù)據(jù)，現(xiàn)在利用WinHex掛載起來(lái)看一看。

掛載之后在winhex的文件瀏覽窗口看到如下圖所示該磁盤(pán)有I和J兩個(gè)分區(qū)，但是該磁盤(pán)的分區(qū)表已經(jīng)損壞，如圖中紅色框中，該分區(qū)表數(shù)據(jù)都變?yōu)?，這也是出現(xiàn)無(wú)法識(shí)別分區(qū)的主要原因。

下面就利用DBR分區(qū)數(shù)據(jù)來(lái)嘗試恢復(fù)這兩個(gè)分區(qū)，NTFS系統(tǒng)的DBR標(biāo)志為EB 52 90在WinHex中搜索得到如下圖結(jié)果其在第128扇區(qū)，dbr的28至2f保存的是文件系統(tǒng)扇區(qū)總數(shù)，通過(guò)數(shù)據(jù)解釋器查看該分區(qū)扇區(qū)總數(shù)為409,599，這里使用當(dāng)前扇區(qū)128加上409,599再加上1得到下一個(gè)分區(qū)的位于第409,728扇區(qū)。

跳轉(zhuǎn)至第409,728扇區(qū)，該扇區(qū)頭部發(fā)現(xiàn)DBR標(biāo)志EB 52 90，驗(yàn)證了我們計(jì)算的扇區(qū)大小的正確性，如下圖所示，查看該dbr的28至2f保存的是文件系統(tǒng)扇區(qū)總數(shù)，通過(guò)數(shù)據(jù)解釋器查看該分區(qū)扇區(qū)總數(shù)為608,255，這里使用當(dāng)前扇區(qū)409,728加上608,255再加上1得到結(jié)果1,017,984，第1,017,984扇區(qū)已經(jīng)非常接近磁盤(pán)總扇區(qū)數(shù)1024000，通過(guò)WinHex查看后續(xù)也沒(méi)有DBR了，則可驗(yàn)證該磁盤(pán)有兩個(gè)分區(qū)。

后面利用上文找到的兩個(gè)分區(qū)的起始扇區(qū)和分區(qū)包含的扇區(qū)總數(shù)來(lái)恢復(fù)MBR的分區(qū)表，分區(qū)1的起始扇區(qū)為128，分區(qū)1包含409,599個(gè)扇區(qū)，轉(zhuǎn)換為十六進(jìn)制起始扇區(qū)為80 00 00 00，扇區(qū)總數(shù)為FF 3F 06 00，分區(qū)2的起始扇區(qū)為409,728，分區(qū)2包含608,255個(gè)扇區(qū)，轉(zhuǎn)換為十六進(jìn)制起始扇區(qū)為80 40 06 00，扇區(qū)總數(shù)為FF 47 09 00，兩個(gè)分區(qū)均為NTFS格式，對(duì)應(yīng)標(biāo)志為07，如圖中紅色框部分。

保存以上修改，重新掛載該磁盤(pán)后即可看到該磁盤(pán)兩個(gè)分區(qū)恢復(fù)正常，分區(qū)中的文件也正常，如下圖所示。

以上對(duì)數(shù)據(jù)恢復(fù)中涉及的基礎(chǔ)知識(shí)，包括硬盤(pán)的尋址方式、分區(qū)結(jié)構(gòu)以及WinHex的用法等進(jìn)行了介紹，同時(shí)結(jié)合實(shí)際恢復(fù)刪除的圖片和被破壞的分區(qū)來(lái)進(jìn)一步闡述理論的正確性，后續(xù)將展開(kāi)對(duì)數(shù)據(jù)恢復(fù)的更多學(xué)習(xí)內(nèi)容，大家一起學(xué)習(xí)交流。