WinHex软件

WINHEX的数据结构模板学习

阅读次数: 725

一、模板概述

定制数据结构模板，这当然比直接分析16进制的原始数据要方便得多，而且不容易出错。你编辑好数据结构模板保存后，数据模板就生效了。这样你就可以分析来自硬盘、内存等一些数据，这些数据将套用你数据结构模板来显示数据了。例如：这样你可以定制一个模板来查阅数据库记录。

模板本身是个带扩展名TPL的文本文件。WINHEX提供的模板编辑器可以让您写模板的定义,并提供语法检查. 模板的定义,主要包含变量声明,类似于源代码的编程语言. 支持的数据类型包括所有的共同整数,浮点和布尔类型,日期类型, hex值,二进制,文字, 串型. 数组变量和一组变量,都可以使用.能自由移动,前移和后移的数据,使得使用模板的特别灵活: 1.同一个变量可以有多种用途 2.你不关心的数据部分可以跳过

模板管理器列出所有的模板的winhex目录,包含模板定义、标题、附加说明、文件名,点击应用按钮,显示模板选用模板定义的数据,在当前编辑窗在目前的数据解释. 你也可以创造一个新的模板定义,删除或编辑一个现有winhex提供的几个模板样例. 二、模板定义

模板由头部和主体两部分组成,模板头部定

WINHEX的数据结构模板学习

阅读次数: 725

一、模板概述

定制数据结构模板，这当然比直接分析16进制的原始数据要方便得多，而且不容易出错。你编辑好数据结构模板保存后，数据模板就生效了。这样你就可以分析来自硬盘、内存等一些数据，这些数据将套用你数据结构模板来显示数据了。例如：这样你可以定制一个模板来查阅数据库记录。

模板本身是个带扩展名TPL的文本文件。WINHEX提供的模板编辑器可以让您写模板的定义,并提供语法检查. 模板的定义,主要包含变量声明,类似于源代码的编程语言. 支持的数据类型包括所有的共同整数,浮点和布尔类型,日期类型, hex值,二进制,文字, 串型. 数组变量和一组变量,都可以使用.能自由移动,前移和后移的数据,使得使用模板的特别灵活: 1.同一个变量可以有多种用途 2.你不关心的数据部分可以跳过

模板管理器列出所有的模板的winhex目录,包含模板定义、标题、附加说明、文件名,点击应用按钮,显示模板选用模板定义的数据,在当前编辑窗在目前的数据解释. 你也可以创造一个新的模板定义,删除或编辑一个现有winhex提供的几个模板样例. 二、模板定义

模板由头部和主体两部分组成,模板头部定

WINHEX的数据结构模板学习

阅读次数: 725

一、模板概述

定制数据结构模板，这当然比直接分析16进制的原始数据要方便得多，而且不容易出错。你编辑好数据结构模板保存后，数据模板就生效了。这样你就可以分析来自硬盘、内存等一些数据，这些数据将套用你数据结构模板来显示数据了。例如：这样你可以定制一个模板来查阅数据库记录。

模板本身是个带扩展名TPL的文本文件。WINHEX提供的模板编辑器可以让您写模板的定义,并提供语法检查. 模板的定义,主要包含变量声明,类似于源代码的编程语言. 支持的数据类型包括所有的共同整数,浮点和布尔类型,日期类型, hex值,二进制,文字, 串型. 数组变量和一组变量,都可以使用.能自由移动,前移和后移的数据,使得使用模板的特别灵活: 1.同一个变量可以有多种用途 2.你不关心的数据部分可以跳过

模板管理器列出所有的模板的winhex目录,包含模板定义、标题、附加说明、文件名,点击应用按钮,显示模板选用模板定义的数据,在当前编辑窗在目前的数据解释. 你也可以创造一个新的模板定义,删除或编辑一个现有winhex提供的几个模板样例. 二、模板定义

模板由头部和主体两部分组成,模板头部定

WinHex数据恢复教程笔记

WinHex是在Windows下运行的十六进制编辑软件，此软件功能非常强大。

有完善的分区管理功能和文件管理功能，能自动分析分区链和文件簇链，能对硬盘进行不同方式不同程度的备份，甚至克隆整个硬盘；

它能够编辑任何一种文件类型的二进制内容（用十六进制显示）其磁盘编辑器可以编辑物理磁盘或逻辑磁盘的任意扇区，是手工恢复数据的首选工具软件。 数据恢复的前提:数据不能被二次破坏、覆盖！ 数据恢复首选软件用十六进制编辑器:WinHex MBR、EBR是分区产生的。

MBR主引导记录大小是固定的，位于整个硬盘的0柱面0磁道1扇区。共占用了63个扇区，实际只使用了1个扇区，即硬盘第一扇区中的512字节。

DBR是分区引导扇区，是由FORMAT高级格式化命令写到该扇区的内容，DBR是由硬盘的MBR装载的程序段。DBR装入内存后，即开始执行该引导程序段，其主要功能是完成操作系统的自举并将控制权交给操作系统。每个分区都有引导扇区，但只有被设为活动分区才会被MBR装的DBR入内存运行 FAT16文件跳转指令EB 3C 90 FAT16 没有备份DBR

FAT32文件跳转指令EB 58 90

DBR备份在第6扇区 有第一扇区的备份。FAT

用winhex修复U盘的MBR

复习：进制转换；K\\M\\G的关系； 1、 MBR界面如下

说明：

MBR：即主引导记录，位于整个硬盘的0柱面0磁道1扇区，共占用了63个扇区，但是实际上只使用了1个扇区（512字节），所谓的引导区病毒就是把这个扇区的数据搞乱而导致系统无法启动也无法使用。有一个简单的办法恢复引导扇区记录，在DOS模式下，输入命令：

FDISK/MBR

这个命令只是用来恢复引导代码，不会引起分区改变，丢失数据，此外，也可以用工具软件，例如DISKGEN，winhex等。

EBR：也叫扩展MBR。因为主引导记录最多只能描述4个分区，如果一个硬盘上多余4个分区，就要采用扩展MBR的办法。EBR的结果和MBR事一样的。

注意：1）编辑菜单中的“复制”、“黏贴”、“fill block”（填充块）；

2）位置菜单中的“转到偏移”； 3）工具菜单中的“打开磁盘”，这里要注意一般打开“物理磁盘”即：physical media

2、 Winhex软件是按照扇区分隔的，注意每一个扇区会有一个分割线，前446字节为引导

代码，可以不看，后64字节为分区信息，每个分区16个字节，共可以表示4个分区（含扩展分区），最后两个字节为“55 AA”，

winhex

数据恢复分类：硬恢复和软恢复。所谓硬恢复就是硬盘出现物理性损伤，比如有盘体坏道、电路板芯片烧毁、盘体异响，等故障，由此所导致的普通用户不容易取出里面数据，那么我们将它修好，同时又保留里面的数据或后来恢复里面的数据，这些都叫数据恢复，只不过这些故障有容易的和困难的之分；所谓软恢复，就是硬盘本身没有物理损伤，而是由于人为或者病毒破坏所造成的数据丢失（比如误格式化，误分区），那么这样的数据恢复就叫软恢复。

这里呢，我们主要介绍软恢复，因为硬恢复还需要购买一些工具设备（比如pc3000,电烙铁，各种芯片、电路板），而且还需要懂一点点电路基础，我们这里所讲到的所有的知识，涉及面广，层次深，既有数据结构原理，为我们手工准确恢复数据提供依据，又有各种数据恢复软件的使用方法及技巧，为我们快速恢复数据提供便利，而且所有软件均为网上下载，不需要我们投资一分钱。

数据恢复的前提：数据不能被二次破坏、覆盖！ 关于数码与码制：

关于二进制、十六进制、八进制它们之间的转换我不想多说，因为他对我们数据恢复来说帮助不大，而且很容易把我们绕晕。如果你感兴趣想多了解一些，可以到百度里面去搜一下，这方面资料已经很多了，就不需要我再多说了。 数据恢复我们主要用十六进

《WinHex》误使用Ghost恢复系统恢复数据图文教程

本帖发表在我是网管论坛，帖子地址：http://bbs.54master.com/280320,1,1 Ghost让众多的用户享受到了恢复系统的便利，在方便快速的同时，偶尔的疏忽。导致了多年的心血，美好的回忆，公司企业数据等等数据被破坏，硬盘数据被破坏让大家十分苦恼，重要的数据如何恢复呢，以下我就一个典型事例给大家讲讲具体数据恢复过程。

Ghost误克隆的一个硬盘，我们开始恢复数据，原先分了2个主分区和1个扩展分区，扩展分区里有2个逻辑分区，这样就一共c,d,e,f四个分区。本来想用Ghost让系统装在c盘，但是由于误操作，选择了“文件to硬盘”，使得原来4个分区变成了一个分区。

Finadata数据恢复工具恢复误Ghost图1

看到这里，可千万别以为数据都删除了，其实除了c盘数据由于有新的系统覆盖上去会丢失部分数据以外，别的分区是可以完全恢复的。接下来我们就来说说怎么利用Winhex（此 数据恢复软件文章结尾提供）和Finadata（此 数据恢复软件文章结尾提供）来手工恢复分区。 Finadata恢复方法篇： 首先，我们打开Finadata

Finada

《WinHex》误使用Ghost恢复系统恢复数据图文教程

本帖发表在我是网管论坛，帖子地址：http://bbs.54master.com/280320,1,1 Ghost让众多的用户享受到了恢复系统的便利，在方便快速的同时，偶尔的疏忽。导致了多年的心血，美好的回忆，公司企业数据等等数据被破坏，硬盘数据被破坏让大家十分苦恼，重要的数据如何恢复呢，以下我就一个典型事例给大家讲讲具体数据恢复过程。

Ghost误克隆的一个硬盘，我们开始恢复数据，原先分了2个主分区和1个扩展分区，扩展分区里有2个逻辑分区，这样就一共c,d,e,f四个分区。本来想用Ghost让系统装在c盘，但是由于误操作，选择了“文件to硬盘”，使得原来4个分区变成了一个分区。

Finadata数据恢复工具恢复误Ghost图1

看到这里，可千万别以为数据都删除了，其实除了c盘数据由于有新的系统覆盖上去会丢失部分数据以外，别的分区是可以完全恢复的。接下来我们就来说说怎么利用Winhex（此 数据恢复软件文章结尾提供）和Finadata（此 数据恢复软件文章结尾提供）来手工恢复分区。 Finadata恢复方法篇： 首先，我们打开Finadata

Finada

Winhex手动恢复NTFS分区中误删除的文件

(2010-01-21 12:48:47)

转载 标签： 分类： IT常识

it

对于数据恢复来说，虽然文件删除后所有的数据运行都能够在残留的MFT中找到，但是数据运行的个数越少即文件碎片越少或者没有碎片，文件被覆盖的可能性就越小，数据恢复的概率也就越高。以下是手工恢复NTFS卷中误删除文件的过程。

1.需要恢复的文件

NTFS卷中一个文件被删除时，其MFT并没有被删除，前面已经介绍过，这里以恢复一个NTFS卷中一删除的文件为例，假设在用户的NTFS卷D盘中有一个名为photo的目录，该目录下有一个名为“penquan.jpg”的文件，如图5-1所示。假设用户不小心将此文件删除。

图 5-1 NTFS 卷中将被删除的文件

2. 找到要恢复文件的 MFT

首先通过 WinHex 选择文件所在的逻辑磁盘将其打开，如图 5-2 所示。

图 5-2 选择磁盘分区

打开磁盘的分区后找到该分区的 MFT ，如图 5-3 所示。

图 5-3 转到 MFT 的起始位置

3. 恢复数据

找到分区的 $MFT 后，通过文件名查找文件的 MFT ，如图 5-4 所示。

Winhex手动恢复NTFS分区中误删除的文件

(2010-01-21 12:48:47)

转载 标签： 分类： IT常识

it

对于数据恢复来说，虽然文件删除后所有的数据运行都能够在残留的MFT中找到，但是数据运行的个数越少即文件碎片越少或者没有碎片，文件被覆盖的可能性就越小，数据恢复的概率也就越高。以下是手工恢复NTFS卷中误删除文件的过程。

1.需要恢复的文件

NTFS卷中一个文件被删除时，其MFT并没有被删除，前面已经介绍过，这里以恢复一个NTFS卷中一删除的文件为例，假设在用户的NTFS卷D盘中有一个名为photo的目录，该目录下有一个名为“penquan.jpg”的文件，如图5-1所示。假设用户不小心将此文件删除。

图 5-1 NTFS 卷中将被删除的文件

2. 找到要恢复文件的 MFT

首先通过 WinHex 选择文件所在的逻辑磁盘将其打开，如图 5-2 所示。

图 5-2 选择磁盘分区

打开磁盘的分区后找到该分区的 MFT ，如图 5-3 所示。

图 5-3 转到 MFT 的起始位置

3. 恢复数据

找到分区的 $MFT 后，通过文件名查找文件的 MFT ，如图 5-4 所示。