原创)用winhex恢复删除的文件(NTFS文件系统)

会员302969 · 发表于 2014-6-6 10:47:56

马上注册，获取阅读精华内容及下载权限

您需要登录才可以下载或查看，没有帐号？注册

x

用winhex回复删除的文件(NTFS文件系统)
个人认为用winhex恢复刚删除的一个或是几个文件winhex的效率比数据恢复软件还是比较高的，用winhex对底层数据进行分析并恢复数据。
以我的电脑D盘的下载文件下的文件为例。

登录/注册后看高清大图

接下来删除这个文件。shift+delete

现在用winhex打开D盘

首先从DBR找到文件记录开始的位置，我这里是C0000(十六进制)转换过来时786432号簇，每簇是8个扇区(786432*8=6291456扇区)

登录/注册后看高清大图

跳转到$MFT第一个文件记录的位置，搜索drivethelife6_setup.exe文件名(注意文件名是以unicode字符存储的)。在6310826扇区找到目录项。

登录/注册后看高清大图

通过对目录项分析下一个文件记录就是要找的文件drivethelife6_setup.exe的位置。

登录/注册后看高清大图

登录/注册后看高清大图

登录/注册后看高清大图

接下来计算文件的位置了。
第一个 32 8B 00 74 8A 20 开始位置(十六进制 20 8A 74)转换为十进制是2132596簇，占用(十六进制00 8B) 139个簇。转到2132596号簇，139*8=1112 向下偏移1112个扇区，然后复制到新文件。

第二个 32 1E 06 CF D6 FB 开始位置(十六进制 FB D6 CF 这个是负数转换成二进制111110111101011011001111)然后逐位取反末尾家1转换为十进制是-272689用2132596+(-272689)=1859907簇，占用(十六进制06 1E) 1566个簇。到相应位置复制到新文件

登录/注册后看高清大图

第三个 31 61 28 64 01 开始位置(十六进制 01 64 28)转换为十进制是91176簇，占用(十六进制61) 97个簇。用2132596+(-272689)+91176=1951083号簇，97*8=776 向下偏移776个扇区，然后复制到新文件。

登录/注册后看高清大图

第四个 32 E2 04 E5 CE E3 开始位置(十六进制 E3 CE E5 可以看出这里又是一个负数，转换成二进制 111000111100111011100101)然后逐位取反末尾家1转换为十进制是-1847579簇，占用(十六进制04 E2) 1250个簇。用2132596+(-272689)+91176+(-1847579)=103504号簇，1250*8=10000 向下偏移10000个扇区，然后复制到新文件。

登录/注册后看高清大图

下图是恢复出来的四个碎片文件，要合并后才可以用。

下面合并文件。

合并完成的文件。

看文件是否可以运行。可以运行。

恢复结束，

补充内容 (2014-6-7 11:08):
想学习winhex的11楼有一本很不错的书的下载地址，有兴趣的可以去看看，我看了看写的很不错。

会员171806 · 发表于 2014-6-18 10:35:57

附件的地址打不开，可能是网速关系，楼主能否传到网盘上

会员255232 · 发表于 2014-6-18 10:23:07

这个软件很复杂啊，不容易学啊

会员890502 · 发表于 2014-6-18 08:54:20

zhy123 发表于 2014-6-17 22:28
这两个你看看是否好用，16.8的带部分模板，17.0的要是用模板的话可以把16.8的模板复制的17.0的文件夹即可 ...

哎可能是我系统问题，什么版本都用不了楼主这个不需要注册吧

会员3711 · 发表于 2014-6-18 08:14:27

你这是什么文件切割合并工具，你这图刚好把前面的几个这挡住了，看不出是什么合并工具。

会员302969 · 发表于 2014-6-6 10:53:45

江南秀士发表于 2014-6-6 10:50
搞得复杂了，直接用恢复软件不是更省事。不过技术不错。

看上去复杂其实就一会的事，用数据恢复软件可能要扫描很长时间。

会员600533 · 发表于 2014-6-6 10:56:42

winhex 十分深奥

会员817040 · 发表于 2014-6-6 12:54:03

WinHex确实强大，但有覆盖了也麻烦

会员185652 · 发表于 2014-6-6 16:36:02

WinHex 真的很强大，，只可惜不会用。。。

会员302969 · 发表于 2014-6-6 17:58:55

江南秀士发表于 2014-6-6 17:15
学winhex有从零基础开始的ＰＤＦ或其它格式的教程吗？谢谢

有啊，。。。。

会员302969 · 发表于 2014-6-7 10:28:11

江南秀士发表于 2014-6-7 09:37
请烦劳发个，谢谢了。

http://www.chinafix.com/thread-768026-1-1.html

困惑的浪漫的教程已经很不错了，

会员302969 · 发表于 2014-6-7 11:03:30

江南秀士发表于 2014-6-7 09:37
请烦劳发个，谢谢了。

如果你想看这本书不错很全面。是PDF版的180M，想看下面是地址注册就可以下载。(注:不是推广链接)

winhex.rar (125 Bytes, 下载次数: 100)

会员311121 · 发表于 2014-6-7 14:38:55

数据存储的最基本原理的弄明白，数据恢复得学习很多东西

会员3711 · 发表于 2014-6-11 09:37:24

楼主，合并文件也是在WINHEX里完成的吗？

会员3711 · 发表于 2014-6-11 09:39:40

zhy123 发表于 2014-6-7 11:03
如果你想看这本书不错很全面。是PDF版的180M，想看下面是地址注册就可以下载。(注:不是推广链接)

你这是困惑的浪漫写的那个吗？

会员703466 · 发表于 2014-6-12 11:39:24

zhy123 发表于 2014-6-7 11:03
如果你想看这本书不错很全面。是PDF版的180M，想看下面是地址注册就可以下载。(注:不是推广链接)

没法下载，那个论坛注册不了。

会员302969 · 发表于 2014-6-12 19:33:16

dcdzzz 发表于 2014-6-11 09:39
你这是困惑的浪漫写的那个吗？

是他，他是作者其中的一个。

会员163102 · 发表于 2014-6-12 19:44:51

很强大

会员890502 · 发表于 2014-6-17 11:26:32

楼主这个软件可以提供下嘛，下个几个不是很好用

会员302969 · 发表于 2014-6-17 12:12:03

manjianghong 发表于 2014-6-12 11:39
没法下载，那个论坛注册不了。

不会吧，怎么会注册不了呢？

会员302969 · 发表于 2014-6-17 12:14:49

302945hyxs 发表于 2014-6-17 11:26
楼主这个软件可以提供下嘛，下个几个不是很好用

不是吧，winhex应该都一样的，只是现在17.0以上的有汉化不是太好的，如果楼主觉得不好用拿就用16.8的吧。你想下载看看，如果不行我在发上来。

会员148231 · 发表于 2014-6-17 15:38:58

PDF不错，谢谢

会员890502 · 发表于 2014-6-17 20:36:28

zhy123 发表于 2014-6-17 12:14
不是吧，winhex应该都一样的，只是现在17.0以上的有汉化不是太好的，如果楼主觉得不好用拿就用16.8的吧。 ...

把你的工具提供下吧，要那种破解，最好是汉化版的谢谢了

会员302969 · 发表于 2014-6-17 22:28:13

302945hyxs 发表于 2014-6-17 20:36
把你的工具提供下吧，要那种破解，最好是汉化版的谢谢了

这两个你看看是否好用，16.8的带部分模板，17.0的要是用模板的话可以把16.8的模板复制的17.0的文件夹即可。

WinHex16.8.rar (1.89 MB, 下载次数: 21)

原创)用winhex恢复删除的文件(NTFS文件系统)

马上注册，获取阅读精华内容及下载权限

购买记录

评分

相关帖子

浏览过的版块