前言

为了防止世界被破坏，为了守护世界的和平…..咳咳，跑题了。

曾经我有一个U盘，我和它在一起了2年，后来…..它进水了….

这个故事告诉我们不管什么资料都要备份（误）

你可以在 http://winhex.baklib.com 中查看所有例题文件**

题库密码：im0o.top

知识点总览

• Winhex 是什么
• Winhex 的常用快捷键
• MBR主引导记录
• windows系统常用的分区简述

Winhex是什么？

简单来讲，Winhex是一个16进制的窗口型编辑器，它专门用来检查和修复文件、恢复删除文件、硬盘损坏、数码相机卡损坏造成的数据丢失等……

当然，它也能够用来人为损坏文件（笑）

Winhex的常用快捷键

以下是使用Winhex进行数据恢复时常用的快捷键：

快捷键	作用
Ctrl+Shift+N	导出（复制）文件
Ctrl+Alt+X	查找16进制数值
Ctrl+F	查找文本
Ctrl+W	关闭当前页面
Ctrl+G	跳至扇区
Ctrl+C	复制
Ctrl+B	粘贴
Ctrl+T	编辑选中内容（异或等）
Alt+Tab	切换窗口（Windows快捷键）
Alt+G	转到偏移量
Enter	打开启动中心
F3	继续上一次的搜索

MBR主引导记录

MBR主引导记录通常在分区的开头（0扇区处）。其作用为指向分区的DBR/EBR

---

MBR主引导记录主要有以下部分构成

1. 引导程序

   引导程序占用MBR的前440字节，其地址在偏移0~偏移1B7H处。

2. Windows磁盘签名

   Windows磁盘标签占用引导程序后的4个字节，是Windows系统对初始化硬盘写入的一个磁盘标签

   Disk Signature (磁盘签名)

   磁盘签名用于在操作系统上标识磁盘。Windows 要求磁盘在使用之前必须有一个签名。将签名写入磁盘后，该磁盘将显示为基本磁盘。

3. 分区表

   偏移1BEH~偏移1FDH的64字节为硬盘分区表，这是MBR分区中非常重要的结构。

4. 结束标志

   扇区最后的两个字节“55 AA”是MBR的结束标志，如果丢失了55 AA，计算机将无法识别出MBR

   （这也是最简单的故障）。

• 只有通过分区表才可以指向所有的分区，分区表由以下值构成

字节偏移	字段长度	值	字段名定义
0x01BE	1字节	0x80	引导标志：指明该分区是否为活动分区
0x01BF	1字节	0x20	开始磁头
0x01C2	1字节	0x07	分区类型描述
0x01C6	4字节	0x00008000	分区起始扇区
0x01CA	4字节	0x0C800800	分区大小

注意：上表中超过1字节的数据都是以 BIG-ENDIAN（即从低位到高位）的方式显示，因为Windows系统是运行在x86架构之上的，所以在实际存储时是按低位到高位存储的，两者表现不同。

LITTLE-ENDIAN（小字节序、低字节序）,即低位字节排放在内存的低地址端，高位字节排放在内存的高地址端。 与之对应的是：BIG-ENDIAN（大字节序、高字节序） ——百度百科