使用Winhex进行数据恢复(1)

发表于 2019-11-13更新于 2019-11-29阅读次数

前言

为了防止世界被破坏,为了守护世界的和平…..咳咳,跑题了。

曾经我有一个U盘,我和它在一起了2年,后来…..它进水了….

这个故事告诉我们不管什么资料都要备份(误)

你可以在 http://winhex.baklib.com 中查看所有例题文件**

题库密码:im0o.top

知识点总览

  • Winhex 是什么
  • Winhex 的常用快捷键
  • MBR主引导记录
  • windows系统常用的分区简述

Winhex是什么?

简单来讲,Winhex是一个16进制的窗口型编辑器,它专门用来检查和修复文件、恢复删除文件、硬盘损坏、数码相机卡损坏造成的数据丢失等……

当然,它也能够用来人为损坏文件(笑)

Winhex的常用快捷键

以下是使用Winhex进行数据恢复时常用的快捷键:

快捷键 作用
Ctrl+Shift+N 导出(复制)文件
Ctrl+Alt+X 查找16进制数值
Ctrl+F 查找文本
Ctrl+W 关闭当前页面
Ctrl+G 跳至扇区
Ctrl+C 复制
Ctrl+B 粘贴
Ctrl+T 编辑选中内容(异或等)
Alt+Tab 切换窗口(Windows快捷键)
Alt+G 转到偏移量
Enter 打开启动中心
F3 继续上一次的搜索

MBR主引导记录

MBR主引导记录通常在分区的开头(0扇区处)。其作用为指向分区的DBR/EBR

img


MBR主引导记录主要有以下部分构成

  1. 引导程序

    引导程序占用MBR的前440字节,其地址在偏移0~偏移1B7H处。

  2. Windows磁盘签名

    Windows磁盘标签占用引导程序后的4个字节,是Windows系统对初始化硬盘写入的一个磁盘标签

    Disk Signature (磁盘签名)

    磁盘签名用于在操作系统上标识磁盘。Windows 要求磁盘在使用之前必须有一个签名。将签名写入磁盘后,该磁盘将显示为基本磁盘。

  3. 分区表

    偏移1BEH~偏移1FDH的64字节为硬盘分区表,这是MBR分区中非常重要的结构。

  4. 结束标志

    扇区最后的两个字节“55 AA”是MBR的结束标志,如果丢失了55 AA,计算机将无法识别出MBR

    (这也是最简单的故障)。

MBR.png

  • 只有通过分区表才可以指向所有的分区,分区表由以下值构成
字节偏移 字段长度 字段名定义
0x01BE 1字节 0x80 引导标志:指明该分区是否为活动分区
0x01BF 1字节 0x20 开始磁头
0x01C2 1字节 0x07 分区类型描述
0x01C6 4字节 0x00008000 分区起始扇区
0x01CA 4字节 0x0C800800 分区大小

注意:上表中超过1字节的数据都是以 BIG-ENDIAN(即从低位到高位)的方式显示,因为Windows系统是运行在x86架构之上的,所以在实际存储时是按低位到高位存储的,两者表现不同。

LITTLE-ENDIAN(小字节序、低字节序),即低位字节排放在内存的低地址端,高位字节排放在内存的高地址端。 与之对应的是:BIG-ENDIAN(大字节序、高字节序) ——百度百科