WinHex

1、查看，编辑和修复磁盘，可用于硬盘，软盘，以及许多其它可存储介质类型。

2、支持 FAT12/16/32, exFAT, NTFS, Ext2/3/4, Next3, CDFS, UDF

3、内置RAID和动态磁盘分析器

4、RAM 编辑器，可直接查看/编辑被调试程序的虚拟内存

5、数据解释器，精通 20 种数据类型

6、使用模板编辑数据结构

7、连接，分割，合并，分析和比较文件

8、智能搜索和替换功能，进行替换时，如果替换字符大于或小于原始字符时可进行选择性操作

9、不同驱动器克隆以及驱动器镜像解释

10、脚本和应用程序接口（API）

11、用于文件和磁盘的成熟的撤消和备份机制

12、加密和解密数据，Hash计算（校验和，CRC32，MD5，SHA-1，...）

13、粉碎文件和磁盘数据，粉碎后的文件和磁盘数据任何人都不可能进行恢复

14、支持所有剪贴板格式的导入

15、数据格式转换，支持二进制，16 进制 ASCII，Intel 16 进制，及 Motorola-S 等数据之间的相互转换；

16、隐藏数据和查找隐藏数据

17、持打开超过4GB的文件，而且速度很快

18、用于计算机进程的众多显著有效的高级功能
 

1、数据恢复分类

硬恢复和软恢复。所谓硬恢复就是硬盘出现物理性损伤，比如有盘体坏道、电路板芯片烧毁、盘体异响，等故障，由此所导致的普通用户不容易取出里面数据，那么我们将它修好，同时又保留里面的数据或后来恢复里面的数据，这些都叫数据恢复，只不过这些故障有容易的和困难的之分；所谓软恢复，就是硬盘本身没有物理损伤，而是由于人为或者病毒破坏所造成的数据丢失（比如误格式化，误分区），那么这样的数据恢复就叫软恢复。因为硬恢复还需要购买一些工具设备（比如pc3000，电烙铁，各种芯片、电路板），而且还需要懂一点点电路基础，我们主要使用软恢复。

2、数据恢复的前提

数据不能被二次破坏、覆盖！

3、硬盘数据结构

下面是一个分了三个区的整个硬盘的数据结构

MBR C盘EBRD盘 EBR E盘

MBR，即主引导纪录，位于整个硬盘的0柱面0磁道1扇区，共占用了63个扇区，但实际只使用了1个扇区（512字节）。在总共512字节的主引导记录中，MBR又可分为三部分：第一部分：引导代码，占用了446个字节；第二部分：分区表，占用了64字节；第三部分：55AA，结束标志，占用了两个字节。后面我们要说的用软件来恢复误分区，主要就是恢复第二部分：分区表。

4、位置管理

（1）位置管理器维护文件或磁盘偏移的列表和相应的描述，也称为注释。它也用于搜索命中时不工作的情况下，但远不如强大的搜索命中列表。从一个条目导航到下一个是容易的，如果你按Ctrl +左和Ctrl +右。您可以输入新的位置，编辑或删除现有的条目。

（2）如果文件中的特殊偏移对您很重要，您可以将其添加到位置管理器中。这使得它更容易再次找到它后，你不必记住它。描述可能多达8192个字符大小。

（3）一个适当的描述实例可以是“数据块从这里开始！”由位置管理器维护的所有位置可以在编辑器窗口中以指定的唯一颜色高亮显示，当鼠标光标移到它们上面时，它们的描述将显示在黄色工具提示窗口中。您也可以添加或编辑位置的编辑窗口的上下文菜单或单击编辑窗口中鼠标按钮。

（4）单击鼠标右键以查看位置管理器中的上下文菜单。上下文菜单提供附加命令。您可以删除，加载或保存位置，甚至导出列表为HTML。

（5）在成像过程中，计算机可以选择要么关闭或（如果你的系统支持）冬眠，以节省电力。如果你选择冬眠，冬眠和Windows信号失败，X-Ways取证反而会尝试关闭系统。

（6）有一个选项，添加新创建的图像的情况下，并开始精炼自己的卷快照（S）自动没有进一步的用户交互，如果源磁盘尚未添加到该案件，如果一个案件是开放的时候，当你开始成像。

（7）使用此命令是创建磁盘映像的推荐方法。为了形象的部门任意范围，你可以选择一个行业范围为块并将其复制到文件通过编辑|复制块|成新的文件，或者使用工具|磁盘工具|克隆磁盘。后者是特别有用的部分图像的硬盘具有严重的物理缺陷（不只是普通坏扇区），甚至可以复制扇区以相反的顺序。
 

Winhex有完善的分区管理功能和文件管理功能，能自动分析分区链和文件簇链，能对硬盘进行不同方式不同程度的备份，甚至克隆整个硬盘；它能够编辑任何一种文件类型的二进制内容（用十六进制显示）其磁盘编辑器可以编辑物理磁盘或逻辑磁盘的任意扇区，是手工恢复数据的首选工具软件。

1、首先要安装Winhex，安装完了就可以启动winhex了，启动后，首先出现的是启动中心对话框。

这里我们要对磁盘进行操作，就选择“打开磁盘”，出现“编辑磁盘”对话框：

（1）在这个对话框里，我们可以选择对单个分区打开，也可以对整个硬盘打开，HD0是我现在正用的西部数据40G系统盘，HD1是我们要分析的硬盘，迈拓2G。这里我们就选择打开HD1整个硬盘，再点确定.然后我们就看到了Winhex的整个工作界面。

（2）最上面的是菜单栏和工具栏，下面最大的窗口是工作区，现在看到的是硬盘的第一个扇区的内容，以十六进制进行显示，并在右边显示相应的ASCII码，右边是详细资源面板，分为五个部分：状态、容量、当前位置、窗口情况和剪贴板情况。这些情况对把握整个硬盘的情况非常有帮助。另外，在其上单击鼠标右键，可以将详细资源面板与窗口对换位置，或关闭资源面板。（如果关闭了资源面板可以通过“察看”菜单——“显示”命令——“详细资源面板”来打开）。

（3）最下面一栏是非常有用的辅助信息，如当前扇区/总扇区数目等。

2、向下拉拉滚动条，可以看到一个灰色的横杠，每到一个横杠为一个扇区，一个扇区共512字节，每两个数字为一个字节，比如00。

3、下面我们来分析一下MBR，因为前面我们说过，前446个字节为引导代码，对我们来说没有意义，这里我们只分析分区表中的64个字节。

4、分区表64个字节，一共可以描述4个分区表项，每一个分区表项可以描述一个主分区或一个扩展分区（比如上面的分区表，第一个分区表项描述主分区C盘，第二个分区表项描述扩展分区，第三第四个分区表项填零未用）

每一个分区表项各占16个字节，各字节含义如下：（H表示16进制）

字节位置 内容及含义

第1字节 引导标志。若值为80H表示活动分区；若值为00H表示非活动分区。

第2、3、4字节 本分区的起始磁头号、扇区号、柱面号

第5字节 分区类型符：

00H——表示该分区未用

06H——FAT16基本分区

0BH——FAT32基本分区

05H——扩展分区

07H——NTFS分区

0FH——（LBA模式）扩展分区

83H—— Linux分区

第6、7、8字节 本分区的结束磁头号、扇区号、柱面号

第9、10、11、12字节 本分区之前已用了的扇区数

第13、14、15、16字节 本分区的总扇区数

此硬盘的第一分区表（即MBR）分析如下：

第一个分区表项（C盘）

第1字节80：表示此分区为活动分区；

第5字节0B：表示分区类型为Fat32；