马上注册，获取阅读精华内容及下载权限
您需要 登录 才可以下载或查看，没有帐号？注册
x
之前发的贴因为不全面，没有图片，今天重做个完整的有图有真相的教程。
Winhex是一个很强大的软件，因为它是一个16进制编辑软件，所以它可以编辑任何电脑文件。
在我们实际所接触的数据恢复中，以硬盘打不开，分区表不对，数据恢复后打不开、误删除文件等最为多见，而目前大部分数据恢复的是照片和文档。
分享一下以照片被破坏后打不开、硬盘分区表不对打不开硬盘等为例的简单学习教程。希望能给新手对数据恢复更深的了解。如有不对的地方请指出相互交流共同学习。
第一个：照片破坏后打不开。
为了做演示我们先破坏一个正常的图片，用WINHEX打开。先破坏一个文件。
破坏后打不开了。
假如我们不知道是破坏了哪里，我们找类型相同JPG的文件打开，（注意：实测是要相同软件生成的同类型格式文件。）图中为用WINHEX打开了二个相同类型的文件，可以相比较。可以发现同类型的文件头部结构有部分是相同的。找到不同的地方（图中黑底白1字）修改成一样再保存就可以了。图片数据修复就多了一个方法。
第二个：分区表不对打不开硬盘。如果用WINHEX手动修复分区表，很大程度上不会破坏数据。
先了解下硬盘的结构。
硬盘的头是MBR。初始式磁盘，就是修改的MBR。
MBR分三部分
1. 是446字节的引导代码，用于引导系统启动
2. 是64字节的主分区表，每个主分区占用16字节，最多4个主分区，所有逻辑分区算作一个扩展分区算作一个主分区。
3. 2字节的55AA结束标志，446+64+2=512B。正好是一个扇区，处于传说中的0磁道。一个硬盘没有初始化就是看结尾是不是55AA。
每个分区的头部为DBR。DBR包含此分区开始位置，分区的大小，分区系统格式，活动标志等信息。
假设下面这个表格为一个整体硬盘。就是硬盘大致结构。
MBR
| C盘的开始 C的大小
扇区数 扇区数
| D盘的开始 D的大小
扇区数 扇区数
| E盘的开始 E的大小
扇区数 扇区数
| E的结束
| 空闲
| C的DBR
| D的DBR
| E的DBR
| 空闲
|
分区表计算，16进制换算10进制。用计算器换算或者在WINHEX中数据解释器计算32位数值，4个二进制 = 一个16进制。换出来就是扇区数。
分区的头是DBR
分区开始的LBA（逻辑）地址计算。
例：3F 00 00 00 用计算机反过来算0000 00 3F出来为63
例：A7 00 19 00用计算机反过来算 0019 00 A7出来为1638567
如果是WINHEX中的数据解释器选中分区开始最开头的3就会计算出32位为63.
以下为其中一个NTFS盘的DBR信息。NTFS的分区开始位置和分区大小位置。要记住NTFS分区开始位置1C 1D1E 1F。分区大小位置28 29 2A 2B。注：如果写MBR分区表在分区大小位置第一个字节用16进制加1。计算器加法。
以下为其中一个FAT32盘的DBR信息。NTFS的分区开始位置和分区大小位置。要记住FAT32分区开始位置1C 1D1E 1F。分区大小位置20 21 22 23。
NTFS备份DBR在第二个分区开始位置的前一个。DBR中的备份扇区计算在MBR中，没有计算在DBR中。就是MBR比DBR多1.
FAT32备份DBR在分区开始位置第六个。
在不知道盘所在位置时，通过查找DBR的分区标志头（如NTFS是EB52 90,FAT32是EB 58 90）和结尾55AA。 1.菜单“查找16进制”，条件偏移计算512=510，列表搜索提示一直到10。
2.搜索出来先检查结尾是不是55AA，再看头有没有分区标志。每个盘之间有条分隔线，能区别一个盘的头和尾。一般80%的盘C盘位置在63扇区。其它位置是128，1024，2048，4096。找到后看1C 1D 1E 1F，再看28 29 2A2B或者是20 21 22 23.将这些字节复制到MBR中分区表位置。
3.找到第一个盘（扇区数越小越靠前）后开始找第二个盘，先算出分区大小然后加上分区开始位置就是第二个盘的开始位置。
4.MBR建立好后保存，在电脑管理中先卸截，再扫描。就可以正常访问了。
| 
[复制链接]
狗仔卡
发表于 2014-12-14 15:06:15
支持！
反对！
收藏
分享
帖子提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
