winhex怎么恢复文件数据恢复

Posted 2023-04-28

winhex恢复数据教程
　　1、打开磁盘

　　2、直接恢复文件
　　如果文件是不久前删除的话，可以看到已经删除的文件，这时便可以直接恢复文件了。

　　3、通过$MFT恢复文件
　　如果在文件列表里没有看到已删除的文件，那么可以从$MFT里恢复。
　　$MFT，主文件表(Master File Table)，存在于是NTFS文件系统里。当文件在硬盘上删除后，文件记录并没有从$MFT里删除，因此可以从$MFT里恢复已删文件。
　　1)打开$MFT
　　右键点击“$MFT”，然后点击“打开”。

　　2)查找要恢复的文件
　　按组合键CTRL+F弹出窗口，输入要恢复的文件名或关键词，选择“Unicode”。

　　3)找到要恢复的文件记录

　　找到要恢复的文件记录，接着是进行数据分析，这是恢复过程中最关键的一步。分析如下：
　　红色圈出的FILE0，是文件头的开始标识。偏移文件头16H的位置，即蓝色圈出的00，00表示该文件已经被删除。
　
　红色圈出的80，是数据属性的标识。在偏移8H的位置，如果是01，即蓝色圈出的地方(本例是01，如果是00，则接下来的分析要看这里如何使用
WinHex恢复删除的文件(2))，那么要看偏移30H的地方，即蓝色圈出的D9 F1
07，这个便是文件的大小，十六进制表示为“7F1D9”。再看偏移40H的地方，即蓝色圈出的42 80 00 BC 50 2B
01，42表示后面的数据中，前两个是族数，这里为80个族，后四个是族号的开始位置，十六进制表示为“12B50BC”。
　　这个分析主要是得到两个数据，族的起始位置和文件大小。
　　4)通过族的起始位置和文件大小来恢复文件
　　切换到磁盘窗口，选中$MFT，然后按组合键CTRL+G，输入族的起始位置19615932(把十六进制12B50BC转换为十进制，百度一下转换工具吧，可以在此网页里转换http://jinzhi.supfree.net/)。

　　点击确定后，在鼠标出现的地方，点击右键，然后点击“选块起始”。

　　按组合键ALT+G，弹出转到偏移量的窗口，这里选择相对于“当前位置”，然后输入7F1D9(第三步分析中得到的文件大小，十六进制)。

　　点击确定后，在鼠标出现的地方，点击右键，然后点击“选块结束”。
　　选块结束
　　选块结束后，在鼠标出现的地方，点击右键，然后点击“编辑”。

　　点击编辑后，然后点击“复制选块-至新文件”，在弹出窗口里，输入文件名，即可恢复文件。 参考技术A 可以安装个电脑管家在电脑上面
然后选择工具箱，可以看到有一个文件数据恢复工具
使用这个工具，可以检测出电脑里面误删的文件，然后进行恢复 参考技术B 回答

WinHex数据恢复教程20版本软件有完善的分区管理功能和文件管理功能，能自动分析分区链和文件簇链，能对硬盘进行不同方式不同程度的备份，甚至克隆整个硬盘；它能够编辑任何一种文件类型的二进制内容（用十六进制显示）其磁盘编辑器可以编辑物理磁盘或逻辑磁盘的任意扇区，是手工恢复数据的首选工具软件。1、下载软件压缩包文件，首先点击“winhex64.exe”启动winhex了，启动后，首先出现的是启动中心对话框

2、选择“打开磁盘”，出现“编辑磁盘”对话框，在这个对话框里，我们可以选择对单个分区打开，也可以对整个硬盘打开

3、这里我们选择整个磁盘，再点确定，然后我们就看到了Winhex的整个工作界面

4、在其上单击鼠标右键，可以将详细资源面板与窗口对换位置，或关闭资源面板。（如果关闭了资源面板可以通过“察看”菜单——“显示”命令——“详细资源面板”来打开）

5、手工恢复数据恢复成功率比较高，而且比较有趣味和挑战性，能找回许多傻瓜似的软件所找不回来的文件，但是要求工程师一定要有耐性，而且一定要保持清醒，清楚自己正在操作什么，操作完了会有什么后果，能不能退回到上一步状态。

 参考技术C 首先，点击Open Disk按钮进入Edit Disk界面，进去后看到Logical Drives和Physical Media，Logical Drives可以选择分区，Physical Media可以选择硬盘，当硬盘主分区信息丢失时，可以选择我们需要恢复数据的硬盘点击OK按钮，Winhex会自动分析硬盘分区信息，点击Access按钮会有一个下拉菜单，里面会有此硬盘的所有分区，选择需要恢复的分区点入，然后保存我们需要恢复的文件。
这里要特别提示的是，最正确的做法是另外找一台电脑，然后将需要恢复的硬盘接从盘，再通过主盘安装的WinHex扫从盘，总之，需要恢复的硬盘不能做任何读写操作，尤其是写入操作，这样一旦恢复失败也不会造成二次伤害，还可以求助于51Recovery这种专业机构。

WinHex数据恢复笔记

WinHex数据恢复功能强大，可以从硬件簇上扇区进行数据扫描恢复。首先对winhex的各个功能介绍。之后对实例记录一个Word文档删除后进行恢复。

   1、WinHex数据恢复软件的编辑区输入与其他普通文本输入一样，选定一个开始字节按下A键输入A，编辑区的内容是十六进制的。在地址偏移区单击会转成十六进制。在编辑区低位字节在前，高位字节在后，在计算的时候自己要倒过来计算。另外编辑区的字节和字符编码区的显示是同步显示。当编辑其中一个时，对应的另一个也会改变。

   2、在《重生——Windows数据恢复极限剖析》一书介绍了model号分辨硬盘的方法。

   3、打开硬盘的C盘，单击扇区控制段，可以直接输入要查看的扇区段。一般硬盘的DBR位于63扇区，当然不同的操作系统有差别。

   4、单击目录下Boot选快跳到该分区的DBR

  5、文件快照是winhex数据恢复的关键，每次刷新相当于对对文件系统从新扫描一次。

  6、文档删除后如何恢复，只要改文档在磁盘上没有被覆盖，在磁盘中任然会有记录。现在假设在E盘上有一个Word文档，打开Winhex可以看见该文件，将其删除，从新打开winhex看到文档目录消失，但是通过磁盘扇区查询，文档的内容任然存在，所以文档还是可以恢复。

 

   7、确定选块的扇区位置，或者根据Word格式的确定开始的十六进制，确定数据开始和结尾的字节选择整个选块后复制到有个新的数据块中，保存格式docx，打开文件发现文档被恢复。

   8、打开文档，由于填充了0值的数据块的字节，office 提示要进行恢复文档，点击确定后文档自动加载恢复到之前的文档内容。这里再说明一下，文档恢复一定是指文档没有被覆盖，如果被覆盖过winhex是不能恢复的，所以不小心将文档删除了就不要在格式化磁盘，操作该存储区的文件。

 

 

 

 

 

   9、winhex数据恢复最难得是在程序及=级上操作数据恢复。也就是说自己写底层的程序。