WinHex的讲.docVIP

WinHex的作用 1GB=1024MB 1MB=1024KB 1KB=1024B WinHex的功能 WinHex的好处 1. WinHex的用途一般是做分析数据用的。 一. MBR、EBR是分区产生的， MBRC盘DBRD盘EBRE盘 二 .MBR，即主引导纪录，位于整个硬盘的0柱面0磁道1扇区，共占用了63个扇区，但实际只使用了1个扇区（512字节）。在总共512字节的主引导记录中，MBR又可分为三部分：第一部分：引导代码，占用了446个字节；第二部分：分区表，占用了64字节；第三部分：55AA，结束标志，占用了两个字节。后面我们要说的用winhex软件来恢复误分区，主要就是恢复第二部分：分区表。 MBR、EBR、DBE都是占用了一个扇区512个字节 二. Winhex是使用最多的一款工具软件，是在Windows下运行的十六进制编辑软件，此软件功能非常强大，有完善的分区管理功能和文件管理功能，能自动分析分区链和文件簇链，能对硬盘进行不同方式不同程度的备份，甚至克隆整个硬盘；它能够编辑任何一种文件类型的二进制内容（用十六进制显示）其磁盘编辑器可以编辑物理磁盘或逻辑磁盘的任意扇区，是手工恢复数据的首选工具软件。 十六进制分区表的个个字节的意思，16个字节分为6个段落 第一个段落是1个字节，80或者是00, 80是活动分区的标示， 00是非活动分区。 第二个段落是3个字节，是CHS的开始位置【CHS,专业术语就是，磁头号、扇区号、柱面号】 第三个段落是1个字节，是分区的格式， 第四个段落是3个字节，是CHS的结束位置, 【CHS,专业术语就是，磁头号、扇区号、柱面号】 第五个段落是4个字节，是分区的起始位置 第六个段落是4个字节，是分区的大小 格式代表码，07是NTFS的格式，0C和0B是FAT32的格式0F是扩展分区的格式 2，如何寻找分区的开始位置 我们常见的FAT32和NTFS的格式，他们第一个分区的起始位置是第63号扇区。 第二个分区的起始位置是第一个分区的结束位置加六十三加一 第三个分区的起始位置是第二个分区的大小加第一个分区的大小加六十三加一 第四个分区的起始位置是，前面三个分区的大小加六十三加一， 3如何寻找分区的大小 用WinHex点击查找项目寻找00 00 55 AA后往上滚动鼠标查找 EB 52 90 或者是 EB 58 90 【NTFS是 EB 52 90】【FAT32是 EB 58 90 】 NTFS的格式是右边8到B字4个字节下三行从右往左拉就是它的大小， FAT32的格式是左边0到3字4个字节下三行从右往左拉就是它的大小 寻找 00 00 55 AA的时候可以从上往下找也可以从下往上找。 NTFS的格式找到 EB 52 90 的右边8到B字4个字节用鼠标点击从右到左拉就是它的分区大小 FAT32的格式找到 EB 58 90的右边8到B字4个字节用鼠标点击从右到左拉就是它的分区大小 4 格式的正、副本 一，NTFS的正本位置就是它的分区大小位置，副本位置就是正本加分区大小 二，FAT32的正本位置加6就是它的副本位置。