数据恢复经验分享

数据恢复经验分享

——鹤哥哥

本期主要内容

l 1.winhex的介绍

l 2.文件系统的介绍

a. NTFS

l b. FAT32

l

l 3.实操

l 如何使用winhex回写丢失的分区

1.Winhex的介绍

lwinhex在数据恢复当中是必不可少的一款底层编辑软件，他的功能强大。强大之处

l1.有着完善的分区管理功能。

l2.任何系统下的文件管理功能。

l3.可以以不同的方式进行不同的备份。

l4.可以克隆整个硬盘。

l5.可以显示和编辑任何一种文件类型的二进制内容 （显示的方式是以16进制）

l6.磁盘的编辑器功能，可以编辑逻辑磁盘和物理磁盘的任何一个扇区的数据。

l

Winhex板块介绍

打开磁盘工具

数据解析器

l 十六进制转换有16进制每一位上可以是从小到大为0、1、2、3、4、5、6、7、8、9、A、B、C、D、E、F16个大小不同的数，即逢16进1，其中用A，B，C，D，E，F（字母使用大写）这六个字母来分别表示10，11，12，13，14，15。

Winhex中涉及到的专业词汇

l 扇区

l 硬盘的读写以扇区为基本单位.512个字节，是一个扇区

l

l 2. 字节

l 1位代表 0或1

l 8位组成1个字节 字节为最小的信息单位

l

l MBR主引导记录

l 识别分区，包括此分区是否为系统。它由磁盘操作系统(DOS)在对硬盘进行初始化时产生的

l

4. DBR 主引导记录：DBR负责引导分区，记录分区下的关键信息

2.文件系统-NTFS

NTFS文件结构

1.DBR主引导

2.MFT 文件记录表(每个文件都有一条MFT记录，通过读取该文件的MFT记录，就可以知道该文件有哪些属性，各属性的内容是多少，是否有加密，是否有隐藏存档属性，是否有命名的数据流等。)

3.MFTmirr 是MFT的备份

4.DATA 数据区

5.DBR备份

2.文件系统-FAT32

FAT32文件结构

保留扇区：包括DBR的备份

FAT1：文件分配表，用来分配簇的。2是备份

FDT：记录文件目录

Winhex下的NTFS文件系统

1. NTFS文件系统在十六进制下代表 07

2. NTFS备份为：起始+大小=备份

Winhex下的FAT 32 文件系统

1. FAT32文件系统在十六进制下代表 0B

2. FAT32备份为：DBR往下6个扇区

模拟故障

软件介绍：WINHEX

故 障：未分配-（四个分区）

虚拟磁盘：1G

需要恢复：所有文件