您好，歡迎來電子發(fā)燒友網(wǎng)！ ，新用戶？[免費(fèi)注冊]

您的位置：電子發(fā)燒友網(wǎng)>電子百科>主機(jī)配件>硬盤>

數(shù)據(jù)恢復(fù)工具winhex教程來源

2010年03月29日 09:53 wenjunhu.com 作者：佚名 用戶評論（0）
數(shù)據(jù)恢復(fù)工具winhex教程

數(shù)據(jù)恢復(fù)分類：硬恢復(fù)和軟恢復(fù)。所謂硬恢復(fù)就是硬盤出現(xiàn)物理性損傷，比如有盤體壞道、電路板芯片燒毀、盤體異響，等故障，由此所導(dǎo)致的普通用戶不容易取出里面數(shù)據(jù)，那么我們將它修好，同時又保留里面的數(shù)據(jù)或后來恢復(fù)里面的數(shù)據(jù)，這些都叫數(shù)據(jù)恢復(fù)，只不過這些故障有容易的和困難的之分；所謂軟恢復(fù)，就是硬盤本身沒有物理損傷，而是由于人為或者病毒破壞所造成的數(shù)據(jù)丟失（比如誤格式化，誤分區(qū)），那么這樣的數(shù)據(jù)恢復(fù)就叫軟恢復(fù)。
這里呢，我們主要介紹軟恢復(fù)，因為硬恢復(fù)還需要購買一些工具設(shè)備（比如pc3000,電烙鐵，各種芯片、電路板），而且還需要懂一點(diǎn)點(diǎn)電路基礎(chǔ)，我們這里所講到的所有的知識，涉及面廣，層次深，既有數(shù)據(jù)結(jié)構(gòu)原理，為我們手工準(zhǔn)確恢復(fù)數(shù)據(jù)提供依據(jù)，又有各種數(shù)據(jù)恢復(fù)軟件的使用方法及技巧，為我們快速恢復(fù)數(shù)據(jù)提供便利，而且所有軟件均為網(wǎng)上下載，不需要我們投資一分錢。
數(shù)據(jù)恢復(fù)的前提：數(shù)據(jù)不能被二次破壞、覆蓋！
關(guān)于數(shù)碼與碼制：
關(guān)于二進(jìn)制、十六進(jìn)制、八進(jìn)制它們之間的轉(zhuǎn)換我不想多說，因為他對我們數(shù)據(jù)恢復(fù)來說幫助不大，而且很容易把我們繞暈。如果你感興趣想多了解一些，可以到百度里面去搜一下，這方面資料已經(jīng)很多了，就不需要我再多說了。
數(shù)據(jù)恢復(fù)我們主要用十六進(jìn)制編輯器：Winhex （數(shù)據(jù)恢復(fù)首選軟件）
我們先了解一下數(shù)據(jù)結(jié)構(gòu)：
下面是一個分了三個區(qū)的整個硬盤的數(shù)據(jù)結(jié)構(gòu)
MBR
C盤
EBR
D盤
EBR
E盤
MBR，即主引導(dǎo)紀(jì)錄，位于整個硬盤的0柱面0磁道1扇區(qū)，共占用了63個扇區(qū)，但實(shí)際只使用了1個扇區(qū)（512字節(jié)）。在總共512字節(jié)的主引導(dǎo)記錄中，MBR又可分為三部分：第一部分：引導(dǎo)代碼，占用了446個字節(jié)；第二部分：分區(qū)表，占用了64字節(jié)；第三部分：55AA，結(jié)束標(biāo)志，占用了兩個字節(jié)。后面我們要說的用winhex軟件來恢復(fù)誤分區(qū)，主要就是恢復(fù)第二部分：分區(qū)表。
引導(dǎo)代碼的作用：就是讓硬盤具備可以引導(dǎo)的功能。如果引導(dǎo)代碼丟失，分區(qū)表還在，那么這個硬盤作為從盤所有分區(qū)數(shù)據(jù)都還在，只是這個硬盤自己不能夠用來啟動進(jìn)系統(tǒng)了。如果要恢復(fù)引導(dǎo)代碼，可以用DOS下的命令：FDISK /MBR；這個命令只是用來恢復(fù)引導(dǎo)代碼，不會引起分區(qū)改變，丟失數(shù)據(jù)。另外，也可以用工具軟件，比如DISKGEN、WINHEX等。
但分區(qū)表如果丟失，后果就是整個硬盤一個分區(qū)沒有，就好象剛買來一個新硬盤沒有分過區(qū)一樣。是很多病毒喜歡破壞的區(qū)域。
EBR，也叫做擴(kuò)展MBR（Extended MBR）。因為主引導(dǎo)記錄MBR最多只能描述4個分區(qū)項，如果想要在一個硬盤上分多于4個區(qū)，就要采用擴(kuò)展MBR的辦法。
MBR、EBR是分區(qū)產(chǎn)生的。
比如MBR和EBR各都占用63個扇區(qū)，C盤占用1435329個扇區(qū)……那么數(shù)據(jù)結(jié)構(gòu)如下表：
63
1435329
63
1435329
63
1253889
MBR
C盤
EBR
D盤
EBR
E盤
擴(kuò)展分區(qū)
而每一個分區(qū)又由DBR、FAT1、FAT2、DIR、DATA5部分組成：比如C?盤的數(shù)據(jù)結(jié)構(gòu)：
C 盤
DBR
FAT1
FAT2
DIR
DATA
Winhex
Winhex是使用最多的一款工具軟件，是在Windows下運(yùn)行的十六進(jìn)制編輯軟件，此軟件功能非常強(qiáng)大，有完善的分區(qū)管理功能和文件管理功能，能自動分析分區(qū)鏈和文件簇鏈，能對硬盤進(jìn)行不同方式不同程度的備份，甚至克隆整個硬盤；它能夠編輯任何一種文件類型的二進(jìn)制內(nèi)容（用十六進(jìn)制顯示）其磁盤編輯器可以編輯物理磁盤或邏輯磁盤的任意扇區(qū)，是手工恢復(fù)數(shù)據(jù)的首選工具軟件。
首先要安裝Winhex，安裝完了就可以啟動winhex了，啟動畫面如下：首先出現(xiàn)的是啟動中心對話框。
?
這里我們要對磁盤進(jìn)行操作，就選擇“打開磁盤”，出現(xiàn)“編輯磁盤”對話框：
在這個對話框里，我們可以選擇對單個分區(qū)打開，也可以對整個硬盤打開，HD0是我現(xiàn)在正用的西部數(shù)據(jù)40G系統(tǒng)盤，HD1是我們要分析的硬盤，邁拓2G。這里我們就選擇打開HD1整個硬盤，再點(diǎn)確定.然后我們就看到了Winhex的整個工作界面。
最上面的是菜單欄和工具欄，下面最大的窗口是工作區(qū)，現(xiàn)在看到的是硬盤的第一個扇區(qū)的內(nèi)容，以十六進(jìn)制進(jìn)行顯示，并在右邊顯示相應(yīng)的ASCII碼，右邊是詳細(xì)資源面板，分為五個部分：狀態(tài)、容量、當(dāng)前位置、窗口情況和剪貼板情況。這些情況對把握整個硬盤的情況非常有幫助。另外，在其上單擊鼠標(biāo)右鍵，可以將詳細(xì)資源面板與窗口對換位置，或關(guān)閉資源面板。（如果關(guān)閉了資源面板可以通過“察看”菜單——“顯示”命令——“詳細(xì)資源面板”來打開）。
最下面一欄是非常有用的輔助信息，如當(dāng)前扇區(qū)/總扇區(qū)數(shù)目……等
?
向下拉拉滾動條，可以看到一個灰色的橫杠，每到一個橫杠為一個扇區(qū)，一個扇區(qū)共512字節(jié)，每兩個數(shù)字為一個字節(jié)，比如00。
下面我們來分析一下MBR，因為前面我們說過，前446個字節(jié)為引導(dǎo)代碼，對我們來說沒有意義，這里我們只分析分區(qū)表中的64個字節(jié)。
分區(qū)表64個字節(jié)，一共可以描述4個分區(qū)表項，每一個分區(qū)表項可以描述一個主分區(qū)或一個擴(kuò)展分區(qū)（比如上面的分區(qū)表，第一個分區(qū)表項描述主分區(qū)C盤，第二個分區(qū)表項描述擴(kuò)展分區(qū)，第三第四個分區(qū)表項填零未用）
每一個分區(qū)表項各占16個字節(jié)，各字節(jié)含義如下：（H表示16進(jìn)制）
字節(jié)位置
內(nèi)容及含義
第1字節(jié)
引導(dǎo)標(biāo)志。若值為80H表示活動分區(qū)；若值為00H表示非活動分區(qū)。
第2、3、4字節(jié)
本分區(qū)的起始磁頭號、扇區(qū)號、柱面號
第5字節(jié)
分區(qū)類型符：
00H——表示該分區(qū)未用
06H——FAT16基本分區(qū)
0BH——FAT32基本分區(qū)
05H——擴(kuò)展分區(qū)
07H——NTFS分區(qū)
0FH——（LBA模式）擴(kuò)展分區(qū)
83H—— Linux分區(qū)
第6、7、8字節(jié)
本分區(qū)的結(jié)束磁頭號、扇區(qū)號、柱面號
第9、10、11、12字節(jié)
本分區(qū)之前已用了的扇區(qū)數(shù)
第13、14、15、16字節(jié)
本分區(qū)的總扇區(qū)數(shù)
此硬盤的第一分區(qū)表（即MBR）分析如下：
第一個分區(qū)表項（C盤）
第1字節(jié)80：表示此分區(qū)為活動分區(qū)；
第5字節(jié)0B：表示分區(qū)類型為Fat32；
第9、10、11、12字節(jié) 系統(tǒng)隱含扇區(qū)3F 00 00 00：所謂系統(tǒng)隱含扇區(qū)就是本分區(qū)（C盤）之前已用了的扇區(qū)數(shù)，這是一個十六進(jìn)制數(shù)，但要注意：真正的隱含扇區(qū)數(shù)應(yīng)該反過來填寫（比如：隱含扇區(qū)數(shù)為3E 4D 5A 6F，則反過來就是6F 5A 4D 3E ，這才是實(shí)際的隱含扇區(qū)數(shù)）。那么，3F 00 00 00反過來寫就是00 00 003F，也就是3F，將他轉(zhuǎn)成十進(jìn)制數(shù)我們才能知道實(shí)際的隱含扇區(qū)數(shù)是多大。這可以使用計算器來算，單擊工具欄上的“計算器”按鈕，如下圖：
?
這樣就啟動了計算器
計算器有兩種型號，我們要進(jìn)行進(jìn)制轉(zhuǎn)換，就要選擇“科學(xué)型”
?
?
比如我們要將十六進(jìn)制3F轉(zhuǎn)換為十進(jìn)制，就要先選中“十六進(jìn)制”，然后輸入3F
?
再選中“十進(jìn)制”，十六進(jìn)制3F轉(zhuǎn)為十進(jìn)制等于63。想一想我們前面所講的，MBR占用63個扇區(qū)，也就是C盤之前已用了的扇區(qū)數(shù)為63，第64個扇區(qū)就是C盤的第一個扇區(qū)，但要注意的是，整個硬盤的LBA地址是從零開始的，0~62的扇區(qū)為MBR。
我們來看看對不對，單擊工具欄上的“轉(zhuǎn)到扇區(qū)”按鈕，出現(xiàn)一個“轉(zhuǎn)到扇區(qū)”對話框
這個就是D盤的EBR，也就是D盤的分區(qū)表了，怎么知道的呢？因為MBR和EBR的結(jié)構(gòu)是完全一樣的，都是占用了63個扇區(qū)，但只用了第一個扇區(qū)，其余62個扇區(qū)填零不用。第一個扇區(qū)前446個字節(jié)都為引導(dǎo)代碼，后64個字節(jié)為分區(qū)表，最后2個字節(jié)為55AA結(jié)束標(biāo)志。因為EBR不是活動分區(qū)，不需要引導(dǎo)代碼，所以前446個字節(jié)為零。
還有另一種方法直接找到D盤的EBR，單擊“訪問”下拉按鈕——“分區(qū)二”——“分區(qū)表”，直接就到1435392扇區(qū).
第1字節(jié)00：表示非活動分區(qū)
第5字節(jié)05：表示擴(kuò)展分區(qū)
第9、10、11、12字節(jié)00 E7 15 00：本分區(qū)之前的扇區(qū)數(shù)（擴(kuò)展分區(qū)前面也就是MBR和C盤，好像我們前面算過這個數(shù)？）同樣，先將它反過來，就是00 15 E7 00 ，再轉(zhuǎn)為十進(jìn)制是1435392，看來我們前面真的算過這個數(shù)。
小知識：具體一個硬盤有多少個LBA(扇區(qū))不需要我們?nèi)ビ洃?，因為用各種工具軟件（如MHDD WINHEX等）都可以檢測到。我們只要知道個大概就行了：如10G的硬盤大概有2000萬個扇區(qū)；20G的硬盤大概有4000萬個扇區(qū)；40G的硬盤大概有8000萬個扇區(qū)……那么，2G的硬盤大概有400萬個扇區(qū)。
那么，你可能要問了：如果要恢復(fù)分區(qū)表，這個起始磁頭號、扇區(qū)號、柱面號還有結(jié)束磁頭號、扇區(qū)號、柱面號應(yīng)該怎么填呢？簡單得很，在后面恢復(fù)分區(qū)表的時候我會告訴你，直接填，都不用計算。
其實(shí)D盤的EBR和Ｅ盤的EBR我們不分析也罷，因為無非也是分區(qū)表，跟MBR的結(jié)構(gòu)是一樣的，但卻很容易把我們繞暈，又因為EBR一般不容易被破壞，所以我不建議分析EBR。
但如果你一定要分析，那就分析吧。
單擊“訪問”下拉按鈕——“分區(qū)二”——“分區(qū)表”，直接就到1435392扇區(qū)，即D盤的分區(qū)表EBR。
第1個字節(jié)00：表示非活動分區(qū)
第5個字節(jié)06：表示FAT16分區(qū)
第9、10、11、12字節(jié)3F 00 00 00：本分區(qū)之前已用了的扇區(qū)數(shù)，也就是EBR的數(shù)目，63個。
第13、14、15、16字節(jié)C1 E6 15 00：本分區(qū)的總扇區(qū)數(shù)，也就是D盤的扇區(qū)數(shù)，先反過來排列就是00 15 E6 C1，轉(zhuǎn)為十進(jìn)制就是1435329。
第二個分區(qū)表項（D盤后面的）：
第1個字節(jié)00：表示非活動分區(qū)
第5個字節(jié)05：表示擴(kuò)展分區(qū)
第9、10、11、12字節(jié)00 E7 15 00：本分區(qū)之前已用了的扇區(qū)數(shù)，也就是D盤的EBR加D盤總共的大小， 63+1435329=1435392
第13、14、15、16字節(jié)40 22 13 00：本分區(qū)的總扇區(qū)數(shù)，1253952,也就是E盤的大小再加上一個EBR的數(shù)目。
單擊“訪問”下拉按鈕——“分區(qū)三”——“分區(qū)表”，直接就到2870784扇區(qū)，即E
盤的分區(qū)表EBR。因為E盤后面沒有分區(qū)了，所以沒有第二個分區(qū)表項。這里我們就不再研究了，有興趣的話可以自己多備一塊硬盤作從盤，然后自己分分區(qū)研究研究。
其實(shí)，通常情況下EBR是不會被破壞的，或者破壞的幾率極低極低，通常情況下，都是只有MBR被破壞，那么這種情況下，我們只要把MBR的分區(qū)表64個字節(jié)復(fù)原，其他的分區(qū)順著分區(qū)表所提供的鏈自然而然就出來了。那么，如何才能將分區(qū)表復(fù)原呢？這就要通過計算結(jié)合Winhex強(qiáng)大的功能來實(shí)現(xiàn)了。
下面我們就來模仿分區(qū)表被病毒破壞的情況，將MBR全部填零。我們首先將MBR所在的扇區(qū)選中。鼠標(biāo)指向第一個字節(jié)，單擊右鍵，選擇“選塊開始”
修改了扇區(qū)，這時候還沒有存盤生效，如果你想存盤生效的話，就選擇“文件”菜單“保存扇區(qū)”命令。
這樣我們就把分區(qū)表給刪除了，這時候必須重新啟動才能生效，如果你打開我的電腦，會發(fā)現(xiàn)三個分區(qū)（F 、G、 H）還在那里，并且里面的數(shù)據(jù)還能正常使用。
經(jīng)過不長時間的等待，電腦啟動起來了，我們打開我的電腦看看，發(fā)現(xiàn)F 、G 、H三個分區(qū)不見了。
接著是第2、3、4字節(jié)（本分區(qū)起始磁頭號、扇區(qū)號、柱面號），填上：01 01 00。
第5字節(jié)是分區(qū)類型符，因為原先C盤是Fat32格式，所以填上：0B。那么，如果你不知道C盤是什么格式怎么辦呢？你會說問問客戶呀，那么如果他也不知道呢？別著急，后面在說恢復(fù)DBR的時候我會教你怎么分辨分區(qū)的格式。
第6、7、8字節(jié)是本分區(qū)的結(jié)束磁頭號、扇區(qū)號、柱面號，這怎么知道呢？別著急，現(xiàn)在的磁盤都是按照LBA方式尋址，并不按照C/H/S(及柱面、磁頭、扇區(qū))方式尋址，所以這個地方你填些什么一般關(guān)系不大，但是我要告訴你有一個通用的填法，那就是：FE FF FF。
第9、10、11、12字節(jié)，本分區(qū)之前已用了的扇區(qū)數(shù)，也就是MBR所占用的扇區(qū)數(shù)，那不是63嗎？對，但是要將63轉(zhuǎn)為十六進(jìn)制數(shù)，再反過來倒著填寫上。還記得怎么用計算器嗎？將63轉(zhuǎn)為十六進(jìn)制數(shù)是3F，不夠四個字節(jié)前面加零，也就是00 00 00 3F，再將此數(shù)從右向左依次序反過來就是3F 00 00 00。
第2、3、4字節(jié)，填寫01 01 00（通用的）
第5字節(jié)：因為是擴(kuò)展分區(qū)，所以填寫0F
第6、7、8字節(jié)：填寫FE FF FF(通用)
第9、10、11、12字節(jié)是本分區(qū)之前已用了的扇區(qū)數(shù)，應(yīng)該就是C盤大小加63，也就是1435392，前面剛計算出來的，轉(zhuǎn)為十六進(jìn)制數(shù)再反過來就是00 E7 15 00
下面我們會說到手工恢復(fù)DBR、FAT（此教程被收錄在付費(fèi)教程中），這些比手工恢復(fù)分區(qū)表還要復(fù)雜，更需要大量的計算。再說完了使用Winhex手工恢復(fù)數(shù)據(jù)之后，我們會說到一些數(shù)據(jù)恢復(fù)軟件，結(jié)合數(shù)據(jù)恢復(fù)軟件會使數(shù)據(jù)恢復(fù)成功率大大提高，但有一些軟件在掃描過程中會對原盤破壞數(shù)據(jù)，在使用中一定要謹(jǐn)慎！??！而且同一個軟件，一個新手用和一個老手用數(shù)據(jù)恢復(fù)成功率絕對是不一樣的，這些軟件我們會免費(fèi)贈送，絕對不會讓你學(xué)習(xí)了資料卻找不到軟件的。

非常好我支持^.^

(0) 0%

不好我反對

(0) 0%

( 發(fā)表人：admin )

      發(fā)表評論

      用戶評論
      評價:好評中評差評

      發(fā)表評論，獲取積分！ 請遵守相關(guān)規(guī)定！

      ?