WinHex数据恢复笔记（一）

WinHex数据恢复功能强大，可以从硬件簇上扇区进行数据扫描恢复。首先对winhex的各个功能介绍。之后对实例记录一个Word文档删除后进行恢复。

1、WinHex数据恢复软件的编辑区输入与其他普通文本输入一样，选定一个开始字节按下A键输入A，编辑区的内容是十六进制的。在地址偏移区单击会转成十六进制。在编辑区低位字节在前，高位字节在后，在计算的时候自己要倒过来计算。另外编辑区的字节和字符编码区的显示是同步显示。当编辑其中一个时，对应的另一个也会改变。

2、在《重生——Windows数据恢复极限剖析》一书介绍了model号分辨硬盘的方法。

3、打开硬盘的C盘，单击扇区控制段，可以直接输入要查看的扇区段。一般硬盘的DBR位于63扇区，当然不同的操作系统有差别。

4、单击目录下Boot选快跳到该分区的DBR

5、文件快照是winhex数据恢复的关键，每次刷新相当于对对文件系统从新扫描一次。

6、文档删除后如何恢复，只要改文档在磁盘上没有被覆盖，在磁盘中任然会有记录。现在假设在E盘上有一个Word文档，打开Winhex可以看见该文件，将其删除，从新打开winhex看到文档目录消失，但是通过磁盘扇区查询，文档的内容任然存在，所以文档还是可以恢复。

7、确定选块的扇区位置，或者根据Word格式的确定开始的十六进制，确定数据开始和结尾的字节选择整个选块后复制到有个新的数据块中，保存格式docx，打开文件发现文档被恢复。

8、打开文档，由于填充了0值的数据块的字节，office 提示要进行恢复文档，点击确定后文档自动加载恢复到之前的文档内容。这里再说明一下，文档恢复一定是指文档没有被覆盖，如果被覆盖过winhex是不能恢复的，所以不小心将文档删除了就不要在格式化磁盘，操作该存储区的文件。

9、winhex数据恢复最难得是在程序及=级上操作数据恢复。也就是说自己写底层的程序。