在数据恢复领域，专业的技术员对winhex这款工具并不陌生。winhex是一款功能强大的十六进制编辑器，擅长处理各种文件数据问题。它能诊断文件错误，恢复误删文件，甚至找回因文件损坏而丢失的数据。然而，许多用户可能还不知道如何使用winhex恢复数据。为此，本文将为大家带来winhex数据恢复教程，让我们一起探索吧！
恢复图片
首先，在系统H盘中放置一个名为cat.jpg的图片文件。然后，使用WinHex挂载该磁盘驱动器。在文件浏览窗口中，您会看到红色框中的cat.jpg文件。通过十六进制查看器，该文件在偏移地址0058B000处。jpg图片格式文件头对应的十六进制码为FFD8FF，如十六进制查看器中的红色框所示。后面的十六进制数对应于cat.jpg文件。
按住Shift+Ctrl键彻底删除cat.jpg文件后，在WinHex的文件浏览窗口中已无法看到该文件。但通过十六进制查看器在0058B000位置，仍然可以看到cat.jpg文件原本占据的位置数据未变。这证明了删除的数据并未立即被覆盖，只是文件索引标识为已删除，为后续数据恢复做好了准备。
WinHex在工具-磁盘工具-通过文件类型恢复中支持多种文件类型的数据恢复。如图所示，仅图片类型就支持JPEG、PNG、GIF、TIFF等多种类型。在此，选择恢复文件的输出位置，确保不要与已删除文件在同一盘符，以免不小心覆盖已删除文件的存储位置。点击确定即可恢复文件，如图所示。
恢复分区
通常情况下，EBR不会遭到破坏，或者被破坏的几率极低。因此，实践中对MBR的修复比较常见。例如，某硬盘的MBR由于病毒破坏而被删除，针对分区的恢复，这里以分区表的恢复为例。
我们有一块测试磁盘，如图所示，提示异常分区未分配且未初始化。但我们之前使用时，这块磁盘有两块分区，存储了数据。现在，利用WinHex挂载起来查看。
挂载后，在winhex的文件浏览窗口中看到该磁盘有I和J两个分区，但该磁盘的分区表已损坏。如图中红色框所示，分区表数据全部变为0，这也是无法识别分区的主要原因。
下面，我们利用DBR分区数据尝试恢复这两个分区。NTFS系统的DBR标志为EB 52 90。在WinHex中搜索，得到如下图结果。其在第128扇区，dbr的28至2f保存的是文件系统扇区总数。通过数据解释器查看，该分区扇区总数为409,599。这里使用当前扇区128加上409,599再加上1，得到下一个分区的起始扇区为409,728。
跳转至第409,728扇区，该扇区头部发现DBR标志EB 52 90，验证了我们计算的扇区大小的正确性。如图所示，查看该dbr的28至2f保存的是文件系统扇区总数。通过数据解释器查看，该分区扇区总数为608,255。这里使用当前扇区409,728加上608,255再加上1，得到结果1,017,984。第1,017,984扇区已经非常接近磁盘总扇区数1,024,000。通过WinHex查看后续也没有DBR了，则可验证该磁盘有两个分区。
后面利用上文找到的两个分区的起始扇区和分区包含的扇区总数来恢复MBR的分区表。分区1的起始扇区为128，分区1包含409,599个扇区，转换为十六进制起始扇区为80 00 00 00，扇区总数为FF 3F 06 00。分区2的起始扇区为409,728，分区2包含608,255个扇区，转换为十六进制起始扇区为80 40 06 00，扇区总数为FF 47 09 00。两个分区均为NTFS格式，对应标志为07，如图中红色框部分。
保存以上修改，重新挂载该磁盘后即可看到该磁盘两个分区恢复正常，分区中的文件也正常，如图所示。
以上对数据恢复中涉及的基础知识，包括硬盘的寻址方式、分区结构以及WinHex的用法等进行了介绍。同时，结合实际恢复删除的图片和被破坏的分区来进一步阐述理论的正确性。后续将展开对数据恢复的更多学习内容，希望大家一起学习交流。
版权说明：本文章为六推智能电视网所有，未经允许不得转载。
