WinHex软件的使用
winhex超全图文使用教程
winhex教程winhex数据恢复分类：硬恢复和软恢复。
所谓硬恢复就是硬盘出现物理性损伤，比如有盘体坏道、电路板芯片烧毁、盘体异响，等故障，由此所导致的普通用户不容易取出里面数据，那么我们将它修好，同时又保留里面的数据或后来恢复里面的数据，这些都叫数据恢复，只不过这些故障有容易的和困难的之分；所谓软恢复，就是硬盘本身没有物理损伤，而是由于人为或者病毒破坏所造成的数据丢失（比如误格式化，误分区），那么这样的数据恢复就叫软恢复。
这里呢，我们主要介绍软恢复，因为硬恢复还需要购买一些工具设备（比如pc3000,电烙铁，各种芯片、电路板），而且还需要懂一点点电路基础，我们这里所讲到的所有的知识，涉及面广，层次深，既有数据结构原理，为我们手工准确恢复数据提供依据，又有各种数据恢复软件的使用方法及技巧，为我们快速恢复数据提供便利，而且所有软件均为网上下载，不需要我们投资一分钱。
数据恢复的前提：数据不能被二次破坏、覆盖！关于数码与码制：关于二进制、十六进制、八进制它们之间的转换我不想多说，因为他对我们数据恢复来说帮助不大，而且很容易把我们绕晕。
如果你感兴趣想多了解一些，可以到百度里面去搜一下，这方面资料已经很多了，就不需要我再多说了。
数据恢复我们主要用十六进制编辑器：Winhex （数据恢复首选软件）我们先了解一下数据结构：MBR，即主引导纪录，位于整个硬盘的0柱面0磁道1扇区，共占用了63个扇区，但实际只使用了1个扇区（512字节）。
在总共512字节的主引导记录中，MBR又可分为三部分：第一部分：引导代码，占用了446个字节；第二部分：分区表，占用了64字节；第三部分：55AA，结束标志，占用了两个字节。
后面我们要说的用winhex软件来恢复误分区，主要就是恢复第二部分：分区表。
引导代码的作用：就是让硬盘具备可以引导的功能。
如果引导代码丢失，分区表还在，那么这个硬盘作为从盘所有分区数据都还在，只是这个硬盘自己不能够用来启动进系统了。
winhex教程
winhex教程WinHex是一款功能强大的十六进制编辑器，主要用于处理二进制文件和磁盘。
它可以帮助用户查看和编辑十六进制数据，分析磁盘、文件系统和媒体等问题。
下面是一个简单的WinHex教程。
首先，下载和安装WinHex软件。
你可以从官方网站或其他可信的源下载WinHex的安装包。
下载完后，双击打开安装包并按照指示进行安装。
启动WinHex软件后，你会看到一个初始界面。
在菜单栏上，你可以看到一系列选项和功能。
现在，我们将介绍一些基本的操作：1. 打开文件：点击“文件”菜单，选择“打开”选项。
然后，浏览到你想要打开的文件，选择它并点击“确定”按钮。
这样，你就可以在WinHex中查看这个文件的十六进制数据了。
2. 编辑数据：在WinHex中，你可以直接在编辑窗口中修改数据。
选中你想要修改的字节或字节块，然后用键盘上的相应键输入新的数值。
当你完成修改后，记得保存你的更改。
3. 查找和替换：点击“搜索”菜单，选择“查找和替换”选项。
在弹出的对话框中，输入你要查找的十六进制值或文本，并选择搜索的模式（十六进制、文本等）。
你还可以选择是否只在选定区域内搜索，以及是否区分大小写等选项。
4. 分析文件：WinHex还可以帮助你分析文件的结构和特征。
通过点击“工具”菜单，你可以访问各种工具，如磁盘分析工具、文件浏览器和文件恢复工具等。
这些工具可以帮助你深入了解文件的组成和特点，并帮助你解决问题。
5. 导出数据：如果你想将WinHex中的数据导出到其他程序中使用，可以点击“文件”菜单，选择“导出”的选项。
在弹出的对话框中，选择数据导出的格式和目标路径，然后点击“确定”按钮。
以上就是一个简单的WinHex教程，介绍了一些基本的操作和功能。
WinHex拥有众多高级功能，如数据恢复、数据分析和数据安全等，可以帮助用户处理复杂的二进制数据和磁盘问题。
希望这篇教程能对你有所帮助。
WinHEX编辑软件的使用
6、磁盘清理功能，彻底清除指定磁盘中的所有数据
7、练习WinHEX的其他功能
八、实训（验）主要步骤、结果分析、小结
10
总Hale Waihona Puke 100七、实训（验）主要内容：
1、安装WinHEX软件
2、在D盘建立一个文本文件，文件名为X-Ways.txt，输入内容。在WinHEX中查看文本内容，并直接更改十六进制编码
3、对X-Ways.txt文件进行数据变换加密（采用XOR运算）
4、彻底删除X-Ways.txt文件，用WinHEX恢复被误删除的文件
实训任务单
班级：_______学号：_________姓名：_________实训日期：_________
项目名称
WinHEX编辑软件的使用
实训学时
2
课程名称
信息安全技术
训练地点
机房
方式
练习
一、训练对象（系部、专业）：08计算机1、2班
二、训练目的:1、用WinHEX软件查看磁盘文件的十六进制编码
2、利用WinHEX实现文件的简单数学变换
五、教学组织要求（编组要求、指导教师数及指导要求等）：
1）指导教师：1人
2）指导要求：教师首先分析讲解，然后学生动手操作，指导老师随堂指导。
六、考核标准
评分内容
评分标准
配分
成绩
扣分
备注
专业技术应用
专业技术运用熟练，能按要求完成实训项目
70
创新性
综合运用多种技术、工具完成实训
20
个人态度
态度端正、积极、主动地参加实训
3、利用WinHEX恢复被误删除的文件
Winhex的使用
WinHex是一个很不错的16进制文件编辑与磁盘编辑软件。
WinHex以文件小、速度快，功能不输其它的Hex十六进位编辑器工具得到了ZDNet Software Library五颗星最高评价，可做Hex与ASCII码编辑修改，多文件寻替换功能，一般运算及逻辑运算，磁盘磁区编辑(支持FAT16、FAT32和NTFS)自动搜寻编辑，文件比对和分析等功能。
一、Winhex的使用353时代的主流修改工具是UE，可惜UE在打开linkdata.bin这种超大文件时的速度令人难以忍受，于是狂派都投入了Winhex的怀抱。
用Winhex打开要修改的文件，显示如下界面：任何一个存储在计算机上的文件都可以认为是由最基本的0和1组成的，Winhex便是将这些文件以二进制形式打开。
不过显示的时候是十六进制，一位十六进制相当于四位二进制，两位十六进制相当于八位二进制即一个字节，每个字节即对应一个地址。
左边那一列是行标，上边那一行是列标，行标和列标便组成了地址。
如6BFA3003这个地址，其行标便是6BFA3000，列标为3。
想要修改数值，直接键盘输入即可。
一个基本常识：对于有多位的十六进制数值而言，存储方式是低位在前，高位在后。
如6e731f这么个值，存储方式便是1f 73 6e。
既然显示十六进制，那么自然存在一个十六进制和日常使用的十进制转化的问题。
通常可以靠Windows的计算器来完成，点击Winhex工具栏的图标即可打开。
在计算器的查看菜单里选择“科学型”，便有进制转换的功能。
其实Winhex自带的数据解释器也可以实现进制转换。
（看不到数据解释器的，单击视图——显示——数据解释器）把光标定在某一地址，数据解释器里便能显示对应的十进制数值。
在数据解释器里输入十进制值然后按回车，则那个地址的数值就会被改写成对应的十六进制。
在“选项——数据解释器”里还能对数据解释器的显示内容作设置，比如翻译无符号数、浮点数等，这个有兴趣的自己试试。
WINHEX软件使用
55AA结束标志：
所有MBR, DBR, EBR的 结束标志都相同，都为 55AA。
常用的分区表类型
00H---------表示该分区未用 06H---------FAT16分区类型 0CH---------FAT32分区类型（EB 58 90） 07H--------NTFS分区类型（EB 52 90） 05H--------逻辑分区
0FH--------扩展分区
83H--------Linux分区
该功能最常用于：将十六进制转换为十进制数值；将十六进制解析为标准的 时间表示形式。
MBR (Master Boot Record)主引导记录
MBR的总体结构
引导代码：占用446字节
MBR可分为三大 部分：（重点）
分区表：占用64字节
55AA结束标志，占用两个字节
引导代码：
计算机主板的BIOS程序在自检通过后，会将MBR整个扇区读取到内
的备份，直接克隆整个硬盘，还可以编辑物理磁盘或
逻辑磁盘的任一个扇区，是一款很好的磁盘编辑软件。
底层数据编辑软件界面
打开磁盘
底层数据编辑软件界面
底层数据编辑软件界面
底层数据编辑软件界面
跳转到某个具体扇区和偏移量
底层数据编辑软件界面
文本搜索和十六进制搜索
底层数据编辑软件界面
数据解释器 这个功能是winhex中非常重要的一个功能模块，它可以解析多种编码并进行 运算包括时间。数据解释器是在查看菜单栏中的显示选项下面的，如下图：
WinHEX使用教程
◇强大的查找功能：Winhex具有强大的查找搜索功能，可以查找和替换文本或 Hex 值。选择搜索菜单中的联合搜索项，弹出搜索对话框，先输入该文件要搜索的十六进制值选择通配符和搜索的范围就可以开始搜索了。你可以选择在整个文件中搜索，也可选择仅在区块中进行有条件的搜索。而且在 Winhex 中可以方便的进行定位操作，快速转道新的位置。执行定位菜单中的标记定位命令，或按 Ctrl＋L，将鼠标指向需要定位的位置，就可以在当前鼠标所在的位置作上标记，不管你操作到什么地方，按组合键 Ctrl+k，就可以返回到标记所在的位置。执行定位菜单中的删除标记命令，可以将所作的标记删除。除了利用标记定位以外，你还可以方便的转到文件的开始和结尾，区块的开始和结尾，行首和行尾以及页首和页尾。你可以自己试一试，相信你很快就知道了。
在 Winhex 的工具栏中，包括文件新建、打开、保存、打印、属性工具；剪切、粘贴和复制编辑工具；查找文本和 Hex 值，替换文本和 Hex 值；文件定位工具、RAM 编辑器、计算器、区块分析和磁盘编辑工具；选项设置工具和帮助工具按钮。通过使用工具栏中的快捷按钮可以更方便的进行操作，这些和菜单中相应的命令是一样的。
首先我们到这里去下载一个814KB大小的中文汉化版本的WINHEX，汉化版本更加容易使用嘛，值得一提的是WINHEX是免费软件，你可以在所有的WINDOWS平台上面运行。安装过程非常简单，成功安装之后，程序图标就会出现在“开始→程序”菜单和桌面上。其界面由标题栏、工具栏、菜单栏、图片浏览区和状态栏组成。下面我们来简要介绍一下：
在未登记注册的版本中，只能浏览而不能修改编辑 RAM 区域。按 F8，弹出十六进制和十进制转换器，左边栏显示十六进制数字，右边栏显示十进制数字。 如果您在PCTOOLS之后再也没有碰到过称心的十六进制 0:37 04-11-150:37 04-11-15编辑器，那么我推荐你使用WINHEX。
winhex的使用
1.备份手机资料' T/ _3 f( r1 w7 {, z( ]
1).将手机关机，并按住音量上+开机，短震动后连接到电脑。
（注意：弹出格式化选项后，一定要选择取消，否则你的手机将变砖损坏）
.使用管理员权限运行Winhex软件，选择“克隆磁盘功能”
.在该功能界面内，选择好“来源（手机磁盘）”、“目标（备份文件的保存位置，保存为dd 后缀格式即可）”，开始扇区（来源）项内填写1441792，复制扇区数填写13713408，完成后，点击确定开始备份。
如图示：
备份时间约为15分钟左右。
（视个人电脑配置决定）请耐心等待，完成后，Winhex会弹出记录消息。
备份文件大小约为（6.5GB）
刷写自制固件（参考相关教程，不赘述）" o4 b: @2 J. p
3.恢复手机资料
.将手机关机，并按住音量上+开机，短震动后连接到电脑。
（注意：弹出格式化选项后，一定要选择取消，否则你的手机将变砖损坏）2).使用管理员权限运行Winhex软件，选择“克隆磁盘功能”
在该功能界面内，选择好“来源（dd格式的备份文件）”、“目标（手机磁盘）”，开始扇区（目标）项内填写1441792，复制扇区数填写13713408，完成后，点击确定开始恢复，无视弹出的警告信息，如图示：
)
.恢复时间约为18分钟左右。
（视个人电脑配置决定）请耐心等待，完成后，Winhex会弹出记录消息。
, l# t M+ o. ]8 @* X; @
扣掉电池，重新安装，启动手机即可，启动后请放置片刻（1-5分钟）再使用。
数据恢复软件Winhex使用说明书
目录Winhex概述 (3)1、软件的安装 (3)2、软件使用及介绍 (4)Winhex概述WinHex是一个专门用来对付各种日常紧急情况的小工具。
它可以用来检查和修复各种文件、恢复删除文件、硬盘损坏造成的数据丢失等。
同时它还可以让你看到其他程序隐藏起来的文件和数据。
具体功能如下：*可以对硬盘、软盘、CD-ROM、DVD、ZIP及各种存储卡进行编辑*支持FAT、NTFS、Ext2/3、ReiserFS、Reiser4、UFS、CDFS、UDF等文件系统*可支持重组RAID及动态磁盘*附带数据恢复功能*可以访问物理内存及虚拟内存*内置数据解释器，可以识别解释20种数据类型*可以用数据结构模板查看、编辑结构数据*可以分割与合并文件*可以对文件进行分析与对比*具有灵活的搜索和替换功能*可以对磁盘进行克隆*可对磁盘进行压缩镜像备份，支持对备份文件进行分卷处理*具有编程接口，支持脚本操作*支持256位加密、校验和、CRC32、hash（MD5，SHA-1）计算*支持对磁盘进行数据安全销毁*包含ANSI ASCII,IBM ASCII,EBCDIC,Unicode字符集*支持文件大小超过4GB1、软件的安装Winhex的安装与普通软件安装没有区别，以在Windows XP下为例，双击Setup.exe程序即可开始安装过程。
如图1.1所示。
图1.1程序默认的安装路径是C:\Program Files\WinHex，当然也可以自行选择安装到其他位置。
可以选择语言种类，不过用以选择中文的Chinese按钮处于灰色不可选状态，应该是尚不支持中文。
用户可以选择其它语言，默认语言是英文。
确定安装位置无误后，点击OK按钮，程序会弹出一个询问框，询问是否确定将程序安装到所选位置。
如图1.2所示。
图1.2如果要对安装位置重新选择，可以按“否”按钮回到原界面进行设置。
否则按“是”按钮继续安装。
程序随即会弹出询问框询问是否要建立快捷方式。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
WinHex软件的使用
谁能告诉我，SD卡上的文件数据从哪个扇区开始？振南推荐使用WinHex这个软件。
它可以帮我们分析出文件数据的具体位置。
在我们后面的实验和讲解中此软件会被经常用到，用它来完成对扇区数据的查看以及对文件系统的解析等操作。
WinHex对于研究文件系统是极为有用的，在很多的与文件系统或存储相关的硕士及博士论文中，也都把它作为了必选的工具软件。
它的重要意义，在这里就不再过多论述，在后面大家自已领悟吧。
下面我们就来看一下，如何让WinHex 告诉我们文件数据到底在哪里？
a)选择及打开磁盘
当把SD卡通过读卡器，插接到计算机上时，如我们平常所见到的，会产生一个盘符。
在WinHex中也是通过盘符来对磁盘进行区分的（逻辑模式，说见下文）。
如下图，选择及打开目标磁盘对话框。
图 3.8 选择及打开目标磁盘对话框
在这里，曾经有人问过我一些问题，我相信有这些疑问的人还不在少数。
问题一：这个对话框是从哪里调出来的？
答：工具 打开磁盘，或者按F9键，也可以直接调出来。
如下图，对话框的出处。
图3.9 对话框的出处
问题二：什么是“逻辑驱动器”与“物理磁盘”？
答：这个问题问的最多，也是出错误最多的地方。
如果选择了物理磁盘，那么磁盘就以物理设备名称来进行区分。
如下图所示，物理模式下的物理设备名称。
图3.10 物理模式下的物理设备名称
该模式下软件就认为并不是以文件的方式来访问磁盘，它不会为我们进行文件系统的解析，而只是把磁盘的物理扇区数据呈现在我们面前，供我们查看。
这个时候，我们所看到的扇区地址，就是它的物理地址。
换言之，此时所看到的就是实际硬件地址上的扇区数据，所使用的扇区地址没有经过任何的变换或映射处理，可以看作是一种非常原始而底层的访问方式。
如下图所示，物理磁盘模式下打开磁盘，我们只能看到物理扇区数据，而看不到文件。
图3.11 物理模式下打开磁盘
而如果选择了逻辑驱动器，我打开某一盘符之后，看到的则是该磁盘驱动器中的文件。
如下图，逻辑模式下打开磁盘。
图3.12 逻辑模式下打开磁盘
我们可以看到上面所拷入到SD卡中的TEST.MP3文件，这说明WinHex的逻辑模
式已经为我们进行了文件系统的解析。
至于后面的“FAT 1”“FAT 2”等表项是我们后面要研究的更为深入的内容，这里暂予保留。
这里有一个问题大家要能够看到，那就是“物理扇区”和“逻辑扇区”，如上图标注之处。
物理扇区编号137，而逻辑扇区编号为0，这是怎么回事？进行了映射？怎么计算这个映射关系的？想搞明白这些问题（其实这是FAT32文件系统非常基础的一个问题）你就得耐得住性子，跟着振南继续往前走！
其实大家可以想想，通常一个磁盘，我们会把它分为若干个分区，为了方便管理和操作，文件系统将每一个分区的开始扇区作为本分区的0扇区，这个0扇区自然与物理意义上的0扇区不同，而是一种逻辑化的产物。
意思就是说，一个磁盘上，物理0扇区只有一个，而逻辑0扇区则可以有N个。
对于存储器的扇区读写的底层操作通常都是针对物理地址来进行的。
因此，如果我们错把逻辑地址当成物理地址的话，那么实际操作的扇区当然不是们我们要想操作的扇区了。
前面我说，很多人在这里出错，是怎么回事呢？是这样的，很多人在作物理扇区读写实验的时候，用WinHex来查验所操作的扇区数据。
但是他使用的是“逻辑模式”，此时他看到的并非是物理扇区，而是逻辑扇区，而这两者，在绝大部分情况下是不一致的，因此，他就很纳闷，所看到的扇区数据怎么和写入到数据不相符？其实，他应该用“物理模式”才对。
就如上面图中，我们所看到的逻辑0扇区，其实它对应的是物理扇区编号为137（有人问，这分区前面的137个扇区记录的是什么呢，难道是空的？它通常由系统保留，记录着系统相关的重要信息或为以后的扩展留出余地）“嗯？你说绝大部分情况是不一致的？意思就是说有时候逻辑地址和物理地址是一样的？”不错，能听出我话外之音！确实有些时候我们在WinHex的逻辑模式下，找不到“物理扇区编号”这一项，这说明物理扇区地址与逻辑扇区地址是一致的，通常这种情况都出现在磁盘没有任何分区的时候。
这里只是顺笔提一下，让大家在看到这种情况的时候不会奇怪。
b)定位文件数据
上面说了那么多，这里再说定位文件数据，大家就会觉得非常简单。
如下图，使用WinHex对文件数据进行定位。
图3.13 使用WinHex对文件数据进行定位
只需要选中文件的表项，下面的数据窗口就会跳转到文件数据的开始位置。
从左侧标注处的物理扇区编号，我们就可以知道文件是从7673扇区开始的了，这就是文件数据相对于物理0扇区的偏移量。
这样一来，“简易SD卡MP3播放器”实验就有着落了。
数据找到了！。