迅维网

标题: 分享WINHEX修复破坏的文件和修复硬盘分区表。 [打印本页]

作者: rack 时间: 2014-12-14 15:06
标题: 分享WINHEX修复破坏的文件和修复硬盘分区表。
之前发的贴因为不全面，没有图片，今天重做个完整的有图有真相的教程。
Winhex是一个很强大的软件，因为它是一个16进制编辑软件，所以它可以编辑任何电脑文件。
在我们实际所接触的数据恢复中，以硬盘打不开，分区表不对，数据恢复后打不开、误删除文件等最为多见，而目前大部分数据恢复的是照片和文档。
分享一下以照片被破坏后打不开、硬盘分区表不对打不开硬盘等为例的简单学习教程。希望能给新手对数据恢复更深的了解。如有不对的地方请指出相互交流共同学习。
第一个：照片破坏后打不开。
为了做演示我们先破坏一个正常的图片，用WINHEX打开。先破坏一个文件。

破坏后打不开了。
假如我们不知道是破坏了哪里，我们找类型相同JPG的文件打开，（注意：实测是要相同软件生成的同类型格式文件。）图中为用WINHEX打开了二个相同类型的文件，可以相比较。可以发现同类型的文件头部结构有部分是相同的。找到不同的地方（图中黑底白1字）修改成一样再保存就可以了。图片数据修复就多了一个方法。

第二个：分区表不对打不开硬盘。如果用WINHEX手动修复分区表，很大程度上不会破坏数据。
先了解下硬盘的结构。
硬盘的头是MBR。初始式磁盘，就是修改的MBR。
MBR分三部分
1.    是446字节的引导代码，用于引导系统启动
2.    是64字节的主分区表，每个主分区占用16字节，最多4个主分区，所有逻辑分区算作一个扩展分区算作一个主分区。
3.    2字节的55AA结束标志，446+64+2=512B。正好是一个扇区，处于传说中的0磁道。一个硬盘没有初始化就是看结尾是不是55AA。

每个分区的头部为DBR。DBR包含此分区开始位置，分区的大小，分区系统格式，活动标志等信息。
假设下面这个表格为一个整体硬盘。就是硬盘大致结构。

MBR	C盘的开始 C的大小扇区数扇区数	D盘的开始 D的大小扇区数扇区数	E盘的开始 E的大小扇区数扇区数	E的结束
空闲	C的DBR	D的DBR	E的DBR	空闲

分区表计算，16进制换算10进制。用计算器换算或者在WINHEX中数据解释器计算32位数值，4个二进制 = 一个16进制。换出来就是扇区数。
分区的头是DBR
分区开始的LBA（逻辑）地址计算。
例：3F 00 00 00 用计算机反过来算0000 00 3F出来为63
例：A7 00 19 00用计算机反过来算 0019 00 A7出来为1638567
如果是WINHEX中的数据解释器选中分区开始最开头的3就会计算出32位为63.

以下为其中一个NTFS盘的DBR信息。NTFS的分区开始位置和分区大小位置。要记住NTFS分区开始位置1C 1D1E 1F。分区大小位置28 29 2A 2B。注：如果写MBR分区表在分区大小位置第一个字节用16进制加1。计算器加法。

以下为其中一个FAT32盘的DBR信息。NTFS的分区开始位置和分区大小位置。要记住FAT32分区开始位置1C 1D1E 1F。分区大小位置20 21 22 23。

NTFS备份DBR在第二个分区开始位置的前一个。DBR中的备份扇区计算在MBR中，没有计算在DBR中。就是MBR比DBR多1.
FAT32备份DBR在分区开始位置第六个。

在不知道盘所在位置时，通过查找DBR的分区标志头（如NTFS是EB52 90,FAT32是EB 58 90）和结尾55AA。

1.菜单“查找16进制”，条件偏移计算512=510，列表搜索提示一直到10。
2.搜索出来先检查结尾是不是55AA，再看头有没有分区标志。每个盘之间有条分隔线，能区别一个盘的头和尾。一般80%的盘C盘位置在63扇区。其它位置是128，1024，2048，4096。找到后看1C 1D 1E 1F，再看28 29 2A2B或者是20 21 22 23.将这些字节复制到MBR中分区表位置。
3.找到第一个盘（扇区数越小越靠前）后开始找第二个盘，先算出分区大小然后加上分区开始位置就是第二个盘的开始位置。
4.MBR建立好后保存，在电脑管理中先卸截，再扫描。就可以正常访问了。

作者: 爱尔思坛 时间: 2014-12-14 16:29
WINHEX很强大！谢谢楼主发的教程，虽然不太懂但也学到了一些技巧！慢慢来，望楼主多发此类的精华贴。

作者: wangniuliu 时间: 2014-12-14 19:03
winhex 太深奥了看到头晕哦

作者: 罗工SAS 时间: 2014-12-15 08:27
其实，还可以再多点内容的。

作者: 唐/footb宇 时间: 2014-12-15 09:05
对于刚接触的我来说是天书

作者: dcdzzz 时间: 2014-12-15 09:37
有的图片略图能看到，但是双击打不开，这种又是怎么样的损坏？谢谢！

作者: rack 时间: 2014-12-15 18:44

罗工SAS 发表于 2014-12-15 08:27
其实，还可以再多点内容的。

我搞了半天哦。

作者: rack 时间: 2014-12-15 18:45

dcdzzz 发表于 2014-12-15 09:37
有的图片略图能看到，但是双击打不开，这种又是怎么样的损坏？谢谢！

可以先用WINHEX打开看一下呀。

作者: rack 时间: 2014-12-15 18:45

唐/footb宇发表于 2014-12-15 09:05
对于刚接触的我来说是天书

慢慢来，没有那么难的、

作者: rack 时间: 2014-12-15 18:45

爱尔思坛发表于 2014-12-14 16:29
WINHEX很强大！谢谢楼主发的教程，虽然不太懂但也学到了一些技巧！慢慢来，望楼主多发此类的精华贴。

感谢支持。

作者: 罗工SAS 时间: 2014-12-15 19:16

rack 发表于 2014-12-15 18:44
我搞了半天哦。

已经不错了，辛苦了，加上改42,0F，修改软件名字等，会更丰富的，我觉得，一般好的帖子，要有10张以上的图片。

作者: lls2281 时间: 2014-12-15 21:18
写的不错，以后有时间多实践一下

作者: 希捷维修 时间: 2014-12-19 22:25
very good , thank you so much

欢迎光临迅维网 (https://www.chinafix.com/)