用winhex恢复500G的硬盘被重新分区后的数据

Posted 2020-09-21

1: 右击桌面的计算机图标”-“管理”-“磁盘管理”查看硬盘的状态,主要看需要恢复的盘时第几块硬盘,本次需要恢复的硬盘,使465G的磁盘1

2:从winhex打开这个硬盘,这里需要注意的是从物理驱动器中打开磁盘

3:把数据区的滑竿拉到最低，从下往上搜索 55AA  偏移条件是512=510 ，可以很快找到一个NTFS文件系统的备份DBR ，把备份DBR的当前扇区号减去文件系统的总扇区数可以很快找到这个分区的真正的起始扇区号。

4.转跳刚刚起算得到的文件系统起始扇区号，然后按F3继续向上搜索，很快找到一个55AA ，那么这个55AA很可能是一个扩展分区表。然后再按F3继续搜索，很快找到一个NTFS文件系统的备份DBR，根据备份DBR记录的文件系统总扇区数，算出文件系统的起始扇区号。然后转跳到计算得到的起始扇区号。

5.继续向上搜索发现找不到分区了， 就把刚刚找到的两个分区写到分区表里验证一下，写入分区表后，再更新winhex的磁盘快照可以看到两个分区，双击打开查看，发现里面的数据就是我们需要找的。这就说明我们恢复对了，但是之前有5个分区现在恢复了两个分区，明显是不够的。再用刚刚的方法搜索55AA，是找不到剩下的分区的

6.换种方法寻找分区，根据数据的存储规律，拉动滑竿，将滑竿停在00 和乱码区域的交界处的上面一点点位置，然后向下搜索55AA 偏移条件是512=510。在102402046位置找到一个备份DBR，然后滚动滑竿 下一个扇区就是下个分区的DBR的起始扇区号。将找到的分区写到分区表里验证下这个分区的数据是否是我们想到恢复的分区

7.双击打开这个分区，发现里面的数据是我们需要恢复的盘

8. 根据DBR里记录的文件系统总扇区数和DBR的当前扇区号，算出这个文件系统的结束扇区号，转跳到这个分区的结束扇区号，然后向下搜索55AA ，偏移条件是512=510.很快找到一个NTFS的备份DBR ，这个我们直接忽略，按F3继续搜索，又会找到一个DBR ，这个才是真正的DBR，获取这个DBR的文件系统总扇区数，然后加上这个DBR的起始扇区号 就可以得到这个分区的最后一个扇区的扇区号。 这里我们发现这个结束扇区号和之前从下向上搜索的找到发分区是差不多位置的，说明这两个分区是相连的。到这里位置我们找分区的任务也就完成了。原先5个分区 我们恢复了后面4个分区， 第一个分区是正好被格式化了，这节课先不讲如何恢复。这节课只讲如何寻找丢失的分区。

9.将找到的分区写入到分区表，这里由于分区个数超过4个需要用到修复扩展分区表才行。

 

10.重新刷新下磁盘管理，可以看到分区直接恢复了 ，并且里面的数据也都跟着恢复。

 用winhex恢复500G的硬盘被重新分区后的数据视频下载地址：http://pan.baidu.com/s/1kVmhbVp