winhex偏移量

合集下载

移动硬盘坏了,用WinHex修复

打开时会出现这个提示，至少说明 MFT 是损坏了,把 offset C0000000 记下来，这个就是 MFT 的起始行号。后面的 offset 3A380D4000 是 MFTMirr，可以不管它。提示要”格式化”和”文件或目录损坏且无法读取”最大可能就是硬盘启动扇区或者是分区表或者是 MFT 的数据被损坏了，所以必须先要检查 MBR(启动扇区)和 EBR（分区表）是否正常。 2).检查 MBR 正常 3).检查 EBR 正常 4).检查 MFT 是否正常
如果 MFT 起始扇区的 4 个开头字节不是 46 49 4C 45，说明 MFT 损坏，必须修复。 $MFTMirr 是 MFT 的镜像，可以不必理会。三、修复过程 1.检查硬盘盒是否正常移动硬盘提示要格式化，有一种可能是 USB 口坏了，如果有另一个硬盘盒，可以换个硬盘盒试下。如果有光驱位硬盘架，最好用换到光驱位硬盘架上，这样硬盘读取速度快，比 USB 口至少快 4 倍。如果换了硬盘插口后如果可以正常打开硬盘，数据访问正常，说明是硬盘盒坏了，重新买个好的就行了，下面的步骤就不必做了。 2.检查硬盘本身是否坏了用 HDTunePro 软件检测硬盘健康信息和坏区.
再定位到 MFT 起始簇，选择第 1 个位置，点右键，选 EditClipboard DataWrite，将，复制的内容写入。
这样就把 MFT 恢复到起始位置了，写入后被写入的地方都显示为蓝色，这时实际还没写入磁盘，需要保存才能生效。 3).保存修改。 4).重启电脑电脑再次启动时自动检查磁盘，重建索引，待启动完成，打开问题磁盘，一切正常，磁盘修复成功。
选择打开物理磁盘(Physical)
下面总结有关 MBR、MFT 的几个关键内容： 1.点分区，或点右边下三角下拉 Boot sector(启动扇区)到能直接定位到 MBR 起始扇区

《WinHex》找回闪存盘的丢失数据 winhex数据恢复案例

《WinHex》找回闪存盘的失意数据 winhex数据恢复案例2009-11-03 17:59前几天，一个朋友的重要文稿不见了，系统提示存放文件的U盘没有格式化，所以不能读出任何有效的文件，情急之下只得请我出马。

下面就给大家说说笔者从U盘上找回丢失文件的过程。

小知识：删除的文件为什么可以恢复？存储一个文件的时候，操作系统首先在记录所有空间使用情况的文件分配表(FAT)中找到足够容纳文件的空间，然后把文件内容写到相对应的硬盘扇区上，并在文件分配表中标出该空间已经被占用。

删除文件的时候，一般并不对文件所占用的扇区进行操作，而仅仅是在文件分配表中指明哪些空间可以分配给别的文件使用。

这个时候，被删除文件的实际内容仍然存在，可以被恢复。

如果删除文件后又创建了新文件，那么被删文件所占用的扇区就有可能被新文件所使用，这时候就无法恢复被删文件的数据了。

所以一旦误删除了文件，就不要再对该文件所在的分区进行写操作了，否则有可能覆盖原有数据，造成文件无法恢复。

小知识：恢复文件的三个阶段1．使用自动化恢复软件恢复软件(如Finaldata或EasyRecovery等)使用很简单，根据向导的指示操作就可以了。

2．手工恢复被删除数据手工恢复的原理是直接在存储设备上寻找被删除文件的关键内容。

这种方法适合恢复有明显特征而且结构简单的文件，如文本文件。

如果文件很大，且分散于磁盘的不同位置，还需要根据文档的内部结构重新组织文档，才能彻底恢复数据。

3．找专业的数据恢复公司备份数据由于数据很重要，所以首先要进行备份，万一出现误操作，还可以把U盘恢复到最初的状态。

这一步很重要，并且U盘容量不大，备份不会占用太大磁盘空间。

进行扇区级别的磁盘数据备份有很多工具，如Ghost、WinHex和DiskExplorer，下面主要介绍WinHex。

WinHex是一个16进制文件编辑工具，可以跳过操作系统的文件系统直接读取磁盘和U盘等设备，从而进行数据恢复。

WINHEX软件使用

第5字节：表示分区类型第6、7、8、字节：表示结束磁头号，扇区号，柱面号。第9、10、11、12字节：本分区已经用的扇区数（保留扇区）第13、14、15、16字节：表示本分区的总扇区数（分区大小）
55AA结束标志：
所有MBR, DBR, EBR的结束标志都相同，都为 55AA。
常用的分区表类型
00H---------表示该分区未用 06H---------FAT16分区类型 0CH---------FAT32分区类型（EB 58 90） 07H--------NTFS分区类型（EB 52 90） 05H--------逻辑分区
0FH--------扩展分区
83H--------Linux分区
该功能最常用于：将十六进制转换为十进制数值；将十六进制解析为标准的时间表示形式。
MBR (Master Boot Record)主引导记录
MBR的总体结构

引导代码：占用446字节
MBR可分为三大部分：（重点）
分区表：占用64字节
55AA结束标志，占用两个字节
引导代码：
计算机主板的BIOS程序在自检通过后，会将MBR整个扇区读取到内
的备份，直接克隆整个硬盘，还可以编辑物理磁盘或
逻辑磁盘的任一个扇区，是一款很好的磁盘编辑软件。
底层数据编辑软件界面
打开磁盘
底层数据编辑软件界面
底层数据编辑软件界面
底层数据编辑软件界面
跳转到某个具体扇区和偏移量
底层数据编辑软件界面
文本搜索和十六进制搜索
底层数据编辑软件界面
数据解释器这个功能是winhex中非常重要的一个功能模块，它可以解析多种编码并进行运算包括时间。数据解释器是在查看菜单栏中的显示选项下面的，如下图：

winhex正则-概述说明以及解释

winhex正则-概述说明以及解释1.引言1.1 概述概述部分：正文部分将首先对WinHex进行简介，然后重点介绍其正则表达式功能。

WinHex是一款功能强大的磁盘编辑器和数据恢复工具。

它具有多项功能，可以用于查找和修复文件系统错误、恢复删除的文件、进行磁盘和存储媒体的数据分析等。

同时，WinHex还提供了强大的正则表达式功能，可以在数据中进行查找和替换操作。

正则表达式是一种用于匹配、查找和替换字符串的工具。

它可以通过一系列的字符组合，来定义模式，并且可以利用这些模式在给定的文本中进行搜索和匹配操作。

WinHex的正则表达式功能提供了丰富的语法和选项，使用户可以根据具体需求进行高级的数据操作。

无论是在数据恢复过程中，还是在进行计算机取证或者数据分析时，WinHex的正则表达式功能都能帮助用户快速、准确地搜索和操作数据。

在接下来的正文部分，我们将详细介绍WinHex的正则表达式功能的使用方法和案例。

通过实际的操作演示，读者将能够全面了解和掌握WinHex正则表达式的应用。

同时，我们还将展望WinHex正则表达式的应用前景，探讨其在日常工作中的潜在用途和发展方向。

通过本文的阅读，读者将了解到WinHex作为一款磁盘编辑器和数据恢复工具的强大功能，并且对其正则表达式功能有更深入的了解。

希望读者能够通过本文获得实际操作的指导，提高在数据分析和处理方面的能力，并且能够在工作中充分发挥WinHex正则表达式的优势。

在结论部分，我们将对本文进行总结，并展望WinHex正则表达式在未来的应用前景。

1.2 文章结构文章结构主要分为引言、正文和结论三部分。

引言部分主要是对文章的背景和意义进行说明，概述整篇文章的内容，介绍WinHex正则表达式的重要性以及本文的目的和结构。

正文部分主要是对WinHex及其正则表达式功能进行详细介绍。

首先介绍WinHex的基本信息、用途和应用范围，然后重点阐述WinHex的正则表达式功能，包括其支持的正则表达式语法、常用功能的示例应用等。

winhex脚本命令教程--中文版

winhex脚本命令教程--中文版<转>2009-06-09 18:09脚本命令适用的环境比较多。

脚本文件中的注释以为双斜杠开头。

脚本支持的最长255方是十六进制，文本字符串（甚至10进制数值）都可以作为参数，你可以使用引号强数。

如果文本或者变量名中存在空格，则引号是必须的，在引号中的所有字符都被被识当在winhex中使用数学表达式的时候，可以引用数学表达式，但是必须用括号括起来空格。

同样可以在数学表达式中应用数字变量。

支持的操作有，加法（+），减法（-），乘法（*），整除（/），模除（%），逻辑运算以及XOR（^）。

以下是有效的数学表达式：(5*2+1), (MyVar1/(MyVar2+4)), or (-MyVar)。

以下是目前支持的脚本命令的详细描述以及使用实例。

Create "D:\My File.txt" 1000创建一个1000字节的新文件，如果已经存在同名文件，则将其覆盖。

Open "D:\My File.txt"Open "D:\*.txt"打开指定格式的文件，如果通配符为“?”则winhex会让用户选择要打开的文件。

Open C:Open D:打开指定的逻辑驱动器。

如果通配符为“:?”则winhex会让用户选择要打开的逻辑驱动器Open 80hOpen 81hOpen 9Eh打开指定的物理介质。

软盘的为00h，硬盘与u盘为80h，光盘为9Eh。

可以增加第二个参数来设定文件或者介质的编辑模式（“in-place”或者“read-only”）CreateBackup为活动文件的当前状态创建WHX备份。

CreateBackupEx 0 100000 650 true "F:\My backup.whx"备份当前活动磁盘中从0扇区到100000扇区的数据。

备份文件将自动分割成650M大输出文件的路径以及名称作为最后的参数写入。

实验一 WinHex的使用

当WinHex打开一个编辑目标时，编辑目标中存储的所有数据都会以十六进制的形式显示在WinHex的十六进制数据编辑区。编辑区的右侧有滚动条，可以上下拖动，这样就方便查看和编辑数据了。
文本区
文本区的作用：将十六进制数据编辑区中的数据按照一定的编码解释为相应的字符。这里的编码种类是可以在菜单中选择的。底边栏主窗口下边一栏是非常有用的辅助信息，如：0/976773168是指：逻辑扇区号/总扇区号。
详细资源面板
偏移量纵坐标
十六进制数据编辑区
文本区
底边栏
详细资源面板
WinHex主窗口的左边是“详细资源面板”，分为六个部分：硬盘参数、状态、容量、当前位置、窗口情况和剪贴板情况。 “访问”功能菜单编辑窗口的右上角有一个向下的三角形，这就是访问功能菜单，如图：
“访问”功能菜单是数据分区的最好工具，把每一个分区按照顺序排除一串。如果分区表有问题，该处也会有一段反映，而且通过这个菜单可以直接查看分区文件系统类型、打开各个分区、直接转移到各个分区的分区表、开始扇区等，并有相应的模板，可以非常直观的显示分区和启动扇区的参数，而且可直接在模板上修改、创建备份。
新建
输入新建文件的大小，单位是字节、KB、 MB、GB。此时会出现输入大小的零值字的文件。此时可以为这些零字节赋予有意义的值，然后另存为文件。
打开打开，可以选择任一文件，便可以浏览该文件的十六进制编码。打开后的文件可以进行各种修改、查找、替换及销毁工作。注意：普通文件被打开后不再按照扇区的结构进行显示，而是采用“页面”方式，就无法看到原本扇区之间的分割线。单个页面没有固定大小，纯粹是显示单位。如果是镜像文件，按照页面浏览会不方便，会让分析、定位扇区及解释文件系统等常规工作无法完成。这时就需要强制按照每 512字节/扇区进行处理，WinHex的介保存

WinHex精彩技巧1

0000E6FD 75 EB
就可以不让它修改主页了。
具体方法：运行WinHex，打开QQ安装目录下的QQ.exe文件，单击“搜索”菜单下的“查找文本”，会弹出“查找文本”窗口，在“下列文本字符将被搜寻(S):”栏中输入：AD\（如图1），注意一定不要选“区分大小写”。然后单击“确定”按钮，会找到四处结果，把AD\替换为其他字符如CC\，只要字符位数一样多就可以。
切换到WinHex另外一个打开了G盘的窗口，点击“搜索ห้องสมุดไป่ตู้菜单下的“查找文本”，在“下列文本字符串将被搜索”一栏中输入：Rar！，单击“确定”开始查找。找到后在代码串的开头部分按鼠标右键，在弹出的快捷菜单中选择“选块开始”(图2)。按F3键继续搜索，很快找到了第二个相同的代码串，在最前面的代码之前的那个代码处点击右键，在弹出的快捷菜单中选择“选块结尾”，被选中的区域会变成浅蓝色，这样就成功地选择了一个RAR文件，不过里面都是十六进制代码。
三找回遗忘的Foxmail邮箱口令
如果忘记了Foxmail邮箱口令该怎么办呢？首先用WinHex打开Foxamil5.0的主程序foxmail.exe文件，单击“搜索”菜单下的“查找16进制数值”，在出现的对话框中输入以下代码：E82978E4FF7515，点击“确定”按钮可以在WinHex中发现这些代码，把它们修改为：E82978E4FF9090。再单击“文件”菜单中的“保存”即可。如果你使用的是Foxmail 4.2，则搜索E81DE7E9FF7515，找到后将它们修改为E81DE7E9FF9090并保存就可以了。
五、用WinHEX修复受损的MPEG文件
有时我们会遇到这种情况：从网上下载的MPEG文件用某些MPEG播放工具打开时会提示“不能识别的格式”或“格式不对”，从而无法播放。有趣的是同样的文件用其他播放软件也有能播放的时候，但开始的几秒钟画面总要一跳一闪的，从中可以看出是MPEG文件头数据有所损坏。如果能修复受损的MPEG文件头就可以用任何MPEG播放软件来播放了，我们可以用WinHex来实现这个目的。

winhex模板的使用方法

winhex模板的使用方法winhex有很多的官方winhex模板，可以在网上下载（后缀tpl）并放至它的安装目录，即可使用。

不过要是自己能自己制作，这才好玩，不是么？！打开winhex模板管理器，可以选中其中一个winhex模板，下面有应用，有编辑，你点开编辑按钮，就可以看到对应的winhex模板源码。

而你点开那个新建按钮，就可以自己写winhex模板了，最后保存到安装目录即可。

海天数据恢复小提示（按住CTRL+FA12 是模板管理器的快捷键可以快速打开模板管理器）提醒一点，我是在记事本下写好粘贴到新建后那个面板上的，因为我发现有好些符号它不支持，比如下划线、引号等，maybe是我自己没设置的原因，不过，这不是重点，略过。

写好后，那个面板下有检查语法的按钮，通过它可判断你的代码是否语法正确。

闲话不多说，下面，我来讲解下winhex模板编程的语法：winhex模板头的常用关键字：1.template:声明模板的名字 eg：template “海天数据恢复的winhex模板1″2.description:描述参数，描述这个winhex模板的用途。

(保存好后，你可以在winhex模板管理器里看到你自定义的模板的名字，描述等信息。

)eg：description “这个winhex模板是用来。

”3.applies_to:参数可以是file/disk/RAM。

指定该winhex模板的适用对象时文件、磁盘还是内存。

eg：applies_to disk4.fixed_start offset:winhex模板的默认起始偏移量取决于光标停留的位置，而这个关键字是来指定偏移量起始位置。

eg：fixed_start 0x0405.sector-aligned:作用是指定winhex模板从当前扇区的偏移0位置运行。

无参数。

6.requires offset:匹配数据，若发现指定偏移量的位置的数据不匹配，就会报错。

注意：这里的偏移量是相对于winhex模板起始偏移量计算的。

超全WinHex教程

本教程是作者困惑的浪漫(高志鹏)耗费大量心血原创，拥有完全的著作权和知识产权，任何人未经同意不得擅自转载、抄录、或用于营利目的。

WINHEX 启动中心已经可以大致反映出它的强大功能，正上方有Open File、Open Disk、Open RAM、Open Folder 四个控件，可以对文件、磁盘、内存、文件夹进行十六机制或文字编码的编辑工作。

WINHEX 支持除加密文件外的所有已知文件格式，可以静态地编辑文件中的任意字节，改变文件结构，跟踪文件各部分在处理器中的协调过程和状态，或是对文件内容进行不可逆转的擦除工作。

WINHEX 支持除非标准硬盘（每扇区不是512 字节的特殊硬盘，一般为光纤接口）外的所有介质，可以静态地改变磁盘数据的排列、状态、属性等。

可以改变除ECC 区外任意扇区任意字节的内容。

WINHEX 还提供高访问级别的内存编辑功能，可以对当前操作系统进程进行在线、动态地编辑工作，可以更改内存变量在磁盘保留区的映射值。

WINHEX 可以对文件夹内部所有指定文件进行动态、同步的比较和集体修改工作。

从Recently opened 中可以看出WINHEX 对以往操作工程的智能记忆，Case/Projects 则为用户有选择地保留操作成果提供便利条件。

Scripts 是一个类似于流水程序模型的批处理脚本编辑系统，可以调用WINHEX 已经开发并集成的各种函数指令进行编程工作（已经有三个实验脚本），指令将不折不扣地按先后顺序依次执行，以后篇章中我们将详细介绍。

选择任意硬盘双击展开，我们就可以看到 WINHEX 的主编辑窗口，最上方的WINDOWS窗体显示当前任务对象为Hard disk 1，接下来是菜单栏，集成了文件操作、编辑、搜索查找、方位、视图、工具、特殊工具、设置、窗口和帮助等十大主菜单。

菜单栏下方为工具栏，提供了WINHEX 操作中使用率很高的各种功能键，依次是创建新文件、打开文件、保存文件、打印、文件属性、打开文件夹、撤消操作、拷贝扇区、剪切板操作、数据转换、修改数据、查找文本、查找16 进制编码、替换文本、替换16 进制编码、同步查找、转到偏移量、转到扇区、光标向回移动、光标向前移动、打开磁盘、复制磁盘、编辑内存、调用计算器、数据图像化分析、HEX 区减少一列、HEX 区增加一列、文件系统快照和目录浏览器选项、帮助调用等。

WinHex查看文件所在扇区的方法

首先从网上下载免费的WinHex软件，有各种各样的（有专家版的，也有普通版的，最好找个专家版的），安装。

（同样也各种各样的，有需要安装的，也有打开就能用的），反正也好找，能用就行。

这个也是本人折腾sd卡，试图将图片取模得到的数据直接送到屏幕上显示时，不知从何读取数据而上网搜了一圈后整理的手记（鉴于不同人下载的不同版本软件和不同的使用环境，本人不对此文档的正确性做保证，仅供参考），此法可以在不了解文件系统的情况下，将数据直接下载到格式化后的SD卡中，然后通过winhex找到文件所在的扇区，然后循环读取即可。

进入正题：右键以管理员身份运行软件（不然有时会出现一些奇怪的问题）：插上SD卡，依次打开“工具”-“打开磁盘”选择移动磁盘所在的盘符，确定。

如果是第二次打开此盘，会弹出要求问是否获取新快照，点“获取新快照”然后就可以看到内存卡中的各种文件信息了，上方是文件列表和与文件系统的有关的各种文件，下方显示的是SD卡各字节的十六进制内容，第一扇区中的内容不要瞎改，不然再次插上电脑后会显示磁盘需要格式化才能用，这个扇区的内容可以复制到别的地方，真改坏了还能复制进来进行恢复，这个自行研究。

如果真给倒腾坏了，又不想格式化，可以通过上上图中的选择“物理存储介质”下的那个USB驱动器，将备份的第一扇区内容（如果有）复制进来保存，然后电脑立刻就能认盘。

单击该文件，下方的内容就会直接跳到该文件所在的扇区，并将内容显示出来点击该扇区的第一字节，下方的偏移量就是该字节所在的物理地址，然后循环读取512字节就相当于读取了一个扇区的内容，“偏移量”可以右键复制，这样就知道了任意一字节所在的地址，可以发挥想象各种读写折腾了<(￣︶￣)>附：复制某一扇区或某一段内容的方法：在第一字节右键选择“选块起始”，最后一字节右键“选块结束”，中间内容就会选中，在选中内容上右键“编辑中”即可复制，复制结果可在winhex新建文件粘贴保存。

winhex教程(下)

然后在选区中单击鼠标右键，选“编辑”又出来一个菜单，然后我们选“复制选块”——“正常”然后我们切换回硬盘1窗口，在零扇区的第一个字节处单击鼠标右键，选“编辑”然后选“剪贴板数据”——“写入……”出现一个窗口提示，点“确定”这样，我们就把一个正常系统盘上的引导代码复制过来了。

下面，我们就开始恢复分区表（共64个字节，分为4个分区表项，每个分区表项占用16个字节，一般只使用前两个分区表项），我们首先来恢复第一个分区标项（也就是用来描述C盘的）。

首先，在第1个字节处（0扇区倒数第五行，倒数第二个字节）填上分区引导标志，因为C盘是活动分区，所以填上80。

接着是第2、3、4字节（本分区起始磁头号、扇区号、柱面号），填上：01 01 00。

第5字节是分区类型符，因为原先C盘是Fat32格式，所以填上：0B。

那么，如果你不知道C盘是什么格式怎么办呢？你会说问问客户呀，那么如果他也不知道呢？别着急，后面在说恢复DBR的时候我会教你怎么分辨分区的格式。

第6、7、8字节是本分区的结束磁头号、扇区号、柱面号，这怎么知道呢？别着急，现在的磁盘都是按照LBA方式寻址，并不按照C/H/S(及柱面、磁头、扇区)方式寻址，所以这个地方你填些什么一般关系不大，但是我要告诉你有一个通用的填法，那就是：FE FF FF。

第9、10、11、12字节，本分区之前已用了的扇区数，也就是MBR所占用的扇区数，那不是63吗？对，但是要将63转为十六进制数，再反过来倒着填写上。

还记得怎么用计算器吗？将63转为十六进制数是3F，不够四个字节前面加零，也就是00 00 00 3F，再将此数从右向左依次序反过来就是3F 00 00 00。

第13、14、15、16字节是本分区的总扇区数，也就是C盘的大小，这就要通过稍微一点点计算来得到了。

因为C盘是从第63个扇区开始，而C盘后面紧接着的是EBR，所以用EBR所在的第一个扇区数减去63就是C盘的大小。

那么如何才能找到EBR所在的第一个扇区呢？我们前面说过，EBR的结构和MBR是一样的，所以，EBR的结束标志也一定是55AA，那么，只要我们找到这个结束标志，再看看这个扇区是不是EBR不就行了？单击“搜索”——“查找十六进制数值……”，然后出来一个对话框在文本框中输入“55AA”，搜索框中选“全部”，然后选中“条件”，把偏移量设置为“512=510”。

用WinHex直接修改磁盘分区表找回丢失的分区(另附分区表知识)Microsoft Word 文档

用WinHex直接修改磁盘分区表找回丢失的分区(另附分区表知识）用WinHex直接修改磁盘分区表找回丢失的分区(另附分区表知识）1. MBR（主引导记录）and Partition Table（分区表）MBR是磁盘第一个扇区，CHS地址是0柱面，0磁头，1扇区；LBA地址是0。

布局如下：[1] 0x01FE是55，0x01FF是AA。

3. 修复过程理解了MBR和Partition Table，修复思路就很清晰了。

我的数据分区大概是占用250G硬盘的后180G，所以从硬盘头六分之一的位置开始，搜索分区表的明显标志0x55AA。

WinHex的方便的搜索功能还可以设置只搜索存在于整数倍于512字节块的末尾的0x55AA，速度快很多。

每找到一个最后两字节为0x55AA 的扇区，就分析4个分区表项是不是合理的，以及它所描述的分区大小，终于找到一个扇区，含有一个分区表项，大小180G，哈哈，肯定就是它了。

这个扇区肯定就是扩展分区的起始扇区，它含有的那个分区表项肯定就是它唯一包含的一个逻辑分区了。

在MBR中创建一条属性为扩展分区（05）的分区表项，填入其他相关位置信息，以描述刚才找到的这个扩展分区：CHS起始位置：一般是逻辑分区表项中的CHS起始位置，把磁头数改为0。

CHS结束位置：照抄逻辑分区表项中的CHS结束位置。

LBA偏移量，写入那个扩展分区相对磁盘起始位置的扇区偏移量。

分区大小：应该是逻辑分区表项中逻辑分区大小加上63个扇区。

存盘，运行Windows管理工具，查看磁盘信息，数据分区赫然在目。

：）4. 备份MBR终于找回我的电影和mp3了，激动啊。

赶紧做个备份。

MBR本来没有第二份拷贝，不像FAT，所以用winhex把MBR复制一份到磁盘最后一个扇区，这个扇区一般不可能被用到。

好了，再也不怕你硬盘掉电了。

相信听说过硬盘MBR、硬盘分区表、DBR的朋友一定都不少。

可是，你清楚它们分别起什么作用吗？它们的具体位置又在哪里呢？硬盘上的MBR只有一份吗？什么是硬盘逻辑锁？如何制造和破解它呢？？别急，让我们一步步来搞清楚吧！==必备基础知识：==以下先介绍一下有关扇区编号的基本知识：介绍一下有关硬盘扇区编号规则的3个易混淆的术语“物理扇区编号”、“绝对扇区编号”和“逻辑扇区编号”。

3.5使用WinHEX

3.5使用WinHEX既然知道了对于电脑来说硬盘就是一个二进制存储空间，那么，要研究存储原理自然是针对此方向进行。

二进制毕竟太繁复，因而，我们不妨直接用十六进制来看待。

前面提到过WinHEX，对于WinHEX，我只能说，它是神器。

WinHEX是一款十六进制磁盘编辑软件，可以直接从底层访问磁盘，可以绕过文件系统对磁盘进行直接编辑，熟悉WinHEX以后，你会不再害怕数据问题。

以WinHEX 15.8 为例（本WinHEX为汉化版，其他WinHEX可能随翻译标准不同而造成下面名词的不对应，请自行斟酌）：1）磁盘编辑概述在工具栏上点击，或者按下键盘上的F9，会弹出编辑磁盘窗口，在“物理驱动器”里面可以看到你的计算机所挂载的硬盘：选中一块硬盘，选“确定”打开；然后，WinHEX将读取硬盘，并把整个物理硬盘的内容以十六进制方式呈现在我们面前。

编辑区中，上侧和左侧均有偏移坐标，分别为偏移横坐标和偏移纵坐标，所谓偏移，是指某个字节相对于一个指定字节位置的位移，用数轴的知识体系去理解，就是相对坐标。

编辑界面下方的状态栏，从左到右一次显示：当前扇区/磁盘扇区总数、偏移坐标地址、十进制换算值、选择块信息、选中块的大小，所谓选择块，你可以尝试用鼠标在编辑区域画一个矩形，矩形选中的块就是选择块。

WinHEX操作界面编辑区域当你点选分区表中的项目时，当前扇区会发生改变，而编辑区域中的内容会滚动到相应的位置；2）查找磁盘中的内容按照文本查找：通过“搜索”菜单中的“查找文本”或用键盘快捷键“Ctrl+F”可直接按照右侧文本字符区的内容进行搜索，搜索时需要注意字符编码。

在数据恢复中，搜索功能很常用，需要注意的是，假如选定了“条件:偏移计算”，那么就只会搜索符合偏移条件位置的内容，如上图，只会搜索偏移地址除以512后余数为0的地址处的信息。

但是，很多时候回复分区表、元文件时，更多的需要搜索十六进制值，这是，可通过“搜索”菜单下的“查找十六进制数值”进行查找，对应的键盘快捷键是“Ctrl+Alt+X”。

数据恢复软件Winhex使用说明书

目录Winhex概述 (3)1、软件的安装 (3)2、软件使用及介绍 (4)Winhex概述WinHex是一个专门用来对付各种日常紧急情况的小工具。

它可以用来检查和修复各种文件、恢复删除文件、硬盘损坏造成的数据丢失等。

同时它还可以让你看到其他程序隐藏起来的文件和数据。

具体功能如下：*可以对硬盘、软盘、CD-ROM、DVD、ZIP及各种存储卡进行编辑*支持FAT、NTFS、Ext2/3、ReiserFS、Reiser4、UFS、CDFS、UDF等文件系统*可支持重组RAID及动态磁盘*附带数据恢复功能*可以访问物理内存及虚拟内存*内置数据解释器，可以识别解释20种数据类型*可以用数据结构模板查看、编辑结构数据*可以分割与合并文件*可以对文件进行分析与对比*具有灵活的搜索和替换功能*可以对磁盘进行克隆*可对磁盘进行压缩镜像备份，支持对备份文件进行分卷处理*具有编程接口，支持脚本操作*支持256位加密、校验和、CRC32、hash（MD5，SHA-1）计算*支持对磁盘进行数据安全销毁*包含ANSI ASCII,IBM ASCII,EBCDIC,Unicode字符集*支持文件大小超过4GB1、软件的安装Winhex的安装与普通软件安装没有区别，以在Windows XP下为例，双击Setup.exe程序即可开始安装过程。

如图1.1所示。

图1.1程序默认的安装路径是C:\Program Files\WinHex，当然也可以自行选择安装到其他位置。

可以选择语言种类，不过用以选择中文的Chinese按钮处于灰色不可选状态，应该是尚不支持中文。

用户可以选择其它语言，默认语言是英文。

确定安装位置无误后，点击OK按钮，程序会弹出一个询问框，询问是否确定将程序安装到所选位置。

如图1.2所示。

图1.2如果要对安装位置重新选择，可以按“否”按钮回到原界面进行设置。

否则按“是”按钮继续安装。

程序随即会弹出询问框询问是否要建立快捷方式。

winhex条件偏移计算

winhex条件偏移计算
WinHex是一款功能强大的十六进制编辑器和磁盘编辑器，它可
以用于分析和编辑任何类型的文件，包括磁盘驱动器和内存。

条件
偏移计算通常是指在特定条件下计算文件中的偏移量或位置。

这可
能涉及到在特定条件下搜索文件中的特定模式或标记，并确定其在
文件中的偏移量。

在WinHex中进行条件偏移计算通常需要使用其强大的搜索和分
析功能。

首先，你需要确定你要搜索的条件，比如特定的字节序列、文件标记或其他模式。

然后，你可以使用WinHex的搜索功能来查找
符合这些条件的内容，并标记或记下它们的偏移量。

另一种方法是使用WinHex的脚本功能来编写自定义脚本来执行
条件偏移计算。

这样可以更灵活地处理复杂的条件和逻辑。

除了搜索和脚本功能，WinHex还提供了丰富的分析工具，可以
帮助你深入分析文件的结构和内容，从而更好地进行条件偏移计算。

总之，WinHex作为一款强大的十六进制编辑器和磁盘编辑器，
提供了多种功能和工具来进行条件偏移计算，包括搜索、脚本和分
析工具。

通过合理利用这些功能，你可以在特定条件下准确地计算文件中的偏移量或位置。

在winhex中偏移36怎么理解？(数据恢复技术第二版中的问题)

在winhex中偏移36怎么理解？(数据恢复技术第二版中的问题)
数据恢复, winhex, 偏移, 技术
偏移36 我们怎么来确定偏移36 在winhex中的位置
呢？
在winhex中一行16个字节，偏移36！
你数到36个字节之后的数：就知道偏移36就是0A 00 00 00
如下图：
如果偏移数很大，是100的话，可我们总不能一行一行的数到偏移100的数来确定偏移100在winhex中的位置吧！
我们在《数据恢复技术》第二版看到了：这样的一句
话，偏移36(24H)
我们知道36转化为10进制就是24 好了，我定位偏移36在winhex中就是靠这个24（10进制）来定位的！
看我画的图：
在这里感谢对我帮助过的朋友，说实话，直到今天都全靠和一位论坛上
的朋友交流之后才
略明白了些...............写这个贴，也是让和我对winhex有困惑的
朋友分享我的困惑！
我写这个帖子的疑问：就是在这个帖子里偏移36 靠 00004020 和 4来确定其在winhex中的位置？可这2个数字
是表示什么含义？
就不是那么懂了？？？？
希望对winhex懂的朋友来解释下原因！。

使用winhex查看FAT16格式结构

使⽤winhex查看FAT16格式结构winhex介绍winhex可以直接查看磁盘⼆进制信息, 可以⽐较直观地查看到各种⽂件系统格式的区别.winhex使⽤查看硬盘要管理员权限, 即启动的时候要⽤邮件管理员权限启动点击Tools->Open Disk查看硬盘磁盘浏览界⾯字体如果太⼩, 可以在Option->General->Font(右下⾓)调整View->Show->Data Interpreter打开光标数值实时查看悬浮窗在悬浮窗上右键点Option, 可以调整展⽰的内容以及切换符号/⽆符号显⽰默认为Little Endian, 可以改为Big Endian磁盘浏览界⾯每⾏16个byte在Offset这⼀列上左键点击可以切换⼗进制和⼗六进制显⽰, ⾮常有⽤点击具体地址, 在底栏会显⽰当前sector, 偏移量(地址), 值(⽆符号byte),选择区域, 在底栏会显⽰block区间, ⼤⼩(⾮常有⽤)在右侧ANSI ASCII这⼀列抬头上点击左键, 可以切换为UTF-8等编码显⽰⼆进制区Navigation->Position Manager, 可以分不同颜⾊添加⾃定义区域, 很直观, ⾮常有⽤Navigation->Go To Offset可以从当前位置快速定位到指定偏移量位置, ⾮常有⽤双击磁盘, 会打开内容浏览界⾯, 显⽰的是磁盘内部⽂件, 包含已删除⽂件FAT16的基本结构FAT16⽂件系统的基本结构依次为: DBR扇区, FAT表1, FAT表2, 根⽬录, 数据区.DBR扇区DBR是操作系统可以直接访问的第⼀个扇区,包括⼀个引导程序和⼀个称为BPB的本分区参数记录表. 引导程序的主要任务是当MBR将系统控制权交给它时,判断本分区跟⽬录前两个⽂件是不是操作系统的引导⽂件. 如果确定是, 就将其读⼊内存, 并把控制权交给该⽂件. BPB参数块记录着本分区的启始扇区、结束扇区、⽂件存储格式、硬盘介质描述符、根⽬录⼤⼩、FAT个数、分配单元的⼤⼩等重要参数.FAT1, FAT2簇的链表. 在根据⽬录项获取⽂件的⾸簇号后, 在FAT 找到对应的簇, 可以找到下⼀个簇, ⼀直到⽂件结束. 对于FAT16, 每个簇⽤16Bit来表⽰,⽽对于FAT32, 使⽤32Bit来表⽰. 这是两者之间的重要区别.根⽬录根⽬录的作⽤就是有⽂件或者⽬录的⾸簇号, 以及⽂件的长度（⽬录的长度是0）. FAT16中, 根⽬录的所占空间可以根据BPB中的参数 -Maximum Root Directory Entries（0x11, 2bytes）.数据区⽂件等数据待的地⽅. 紧跟着根⽬录. 从2号簇开始.引导扇区下⾯是从⼀个2G的TF卡上得到的引导扇区实际数据EB3C904D53444F53352E3000024008000200020000F8 <- ncEC003F00FF0087000000 <- nc79CF3A00000029A8E6B3004E4F204E414D4520202020 <-nc4641543136202020⾸先说明⼀下数据格式, 这些是Little Endian格式的数据, 在单个byte时可以直读, 但是在多个byte时, ⾼位是在右侧的, 例如 '00 02'代表的其实是'02 00'即512, '00 FF'代表的是'FF 00'即65280. 下⾯是具体每⼀段的数值说明:1. 偏移地址00H, 长度3, 内容: EB 3C 90 跳转指令.2. 偏移地址03H, 长度8, 内容: 4D 53 44 4F 53 35 2E 30 为⼚商标志和os 版本号, 这⾥是MSDOS5.0.3. 偏移地址0BH,长度2, 内容: 00 02, 即512. 表⽰每个扇区有512个字节. 这个值也可能是1024, 2048, 4096.4. 偏移地址0DH, 长度1, 内容: 40. 表⽰的意思是每个簇有64个扇区, 即32KByte. 这个值不能为0, ⽽且必须是2的整数次⽅, ⽐如1、2、4、8、16、32、64、128. 但是这个值不能使每个簇超过32KB字节.5. 偏移地址0EH, 长度2, 内容: 08 00. 转换⼀下, 就是00 08, 意思是保留区域中的保留扇区数为8个. 那么就可以知道下⾯的FAT1区的开始的地址就是 0x08 * 0x200（每个扇区的字节数）= 0x1000.6. 偏移地址10H, 长度1, 内容: 02. 表⽰此卷中的FAT结构的份数为2, 另外⼀个是备份的.7. 偏移地址11H, 长度2, 内容: 00 02. 转换⼀下, 就是0200H, 表⽰根⽬录项数(Root Entries) 能够保存在该分区的根⽬录⽂件夹中的32个字节长的⽂件和⽂件夹名称项的总数. 在⼀个典型的硬盘上该值为512.8. 偏移量地址13H, 长度2, 内容: 00 00. 表⽰⼩扇区数(Small Sector). 该分区上的扇区数, 表⽰为16位(<65536). 对⼤于65536个扇区的分区来说, 本字段的值为0, ⽽使⽤⼤扇区数来取代它.9. 偏移地址16H, 长度2, 内容: EC 00. 转换⼀下为00 EC = 60,664, 表⽰每个FAT占⽤的扇区数. 那么每个扇区占⽤的字节数就是0x00EC*0x200 = 0x1D800. 根据启动区、FAT1、FAT2、根⽬录、数据区的次序, 可以依次计算出它们的地址了(教程中给出的偏移地址为24H, 但是根据实际的FAT1/FAT2地址的推算, 应该是16H地址).10. 偏移量地址20H, 长度2, 内容: 79CF, 即CF79 = 53,113. 表⽰⼤扇区数(Large Sector). 如果⼩扇区数字段的值为0, 本字段就包含该FAT16 分区中的总扇区数. 如果⼩扇区数字段的值不为0, 那么本字段的值为0.11. 偏移量地址36H, 长度为8, 内容: 46 41 54 31 36 20 20 20, 对于ASCII码为“FAT16”, 表⽰⽂件系统类型(File System Type) 根据该磁盘格式, 该字段的值可以为FAT、FAT12或FAT16FAT1, FAT2根据上⾯的分析得知, FAT1和FAT2的起始位置在 0x1000, 长度为 0x1D800, 分区开始位置在10E00, 所以BDR: 0x10E00, 长度0x1000FAT1: 0x11E00, 长度0x1D800FAT2: 0x2F600, 长度0x1D800根⽬录: 0x4CE00根⽬录FAT16短⽂件⽬录项, 每32个字节表⽰⼀个⽂件(⽂件夹也是), 下⾯是⼀个实际的数据例⼦41700065007400650031000F00EE2E006D00700033000000FFFF0000FFFFFFFF <-nc50455445312020204D5033200000094DD450F1500000 <- ncC64CD450992553D13B0041700065007400650032000F00022E006D00700033000000FFFF0000FFFFFFFF <-nc50455445322020204D5033200000094DD450F1500000 <-ncCD4CD450112672C745004170006500740065...间隔着驱动器的信息(32Byte)1. 偏移地址00H, 长度8, 内容: 驱动器的名称, 8个字节.然后是⽂件信息(32Byte)1. 偏移地址20H, 长度8, 内容: 5045544531202020. 表⽰第⼀个⽂件名: PETE1 (空缺部分是空格).2. 偏移地址28H, 长度3, 内容: 4D5033, mp3, 表⽰⽂件扩展名, 为ASCII字符表⽰.3. 偏移地址2BH, 长度1, 内容: 20. 表⽰⽂件属性, 00000000(读写); 00000001(只读); 00000010(隐藏); 00000100(系统); 00001000(卷标);00010000(⼦⽬录); 00100000(归档).4. 偏移地址36H, 长度2, 内容为C6 4C. 表⽰时间 = ⼩时*2048 + 分钟*32+秒/2. 得出的结果换算成16进制填⼊即可. 也就是: 36H字节的0-4位是以2秒为单位的量值; 36H字节的5-7位和37H字节的0-2位是分钟; 37H字节的3-7位是⼩时.5. 偏移地址38H, 长度2, 内容为D4 50. 表⽰⽇期= (年份 - 1980)*512 + ⽉份*32 + ⽇. 得出的结果换算成16进制填⼊即可. 也就是: 38H字节0-4位是⽇期数; 38H字节5-7位和39H字节0位是⽉份; 39H字节的1-7位为年号, 原定义中0-119分别代表1980-2099, ⽬前⾼版本的Windows允许取0-127, 即年号最⼤可以到2107年.6. 偏移地址3AH, 长度2, 内容99 25, 为该⽂件开始簇号, 这⾥也是⽤了⼩端格式组织. 转换下为25 99, 根据这个就可以找到⽂件PETE1.mp3下⼀个簇号在FAT1中的位置了. 0x11E00 + 2599H*02H（因为2个字节存⼀个簇号）= 0x16932.7. 偏移地址3CH, 长度4, 内容: 53 D1 3B 00. 表⽰⽂件长度, 转换后为00 3B D1 53就是3,920,211 Byte然后⼜是驱动器信息(32Byte)参考解析FAT16⽂件系统。

[分享]winhex脚本命令教程--中文版

脚本命令适用的环境比较多。

脚本文件中的注释以为双斜杠开头。

脚本支持的最长255字符的参数。

有疑点的地方是十六进制，文0本字符串（甚至10进制数值）都可以作为参数，你可以使用引号强制转换数字参数为文本参数。

如果文本或者变量名中存在空格，0则引号是必须的，在引号中的所有字符都被被识别成一个参数而存在。

0当在winhex中使用数学表达式的时候，可以引用数学表达式，但是必须用括号括起来。

在数学表达式中不能有空格。

同样可以在数0学表达式中应用数字变量。

支持的操作有，加法（+），减法（-），乘法（*），整除（/），模除（%），逻辑运算符AND（&），0OR（|），以及XOR（^）。

以下是有效的数学表达式：(5*2+1), (MyVar1/(MyVar2+4)), or (-MyVa r)。

0以下是目前支持的脚本命令的详细描述以及使用实例。

0Create "D:\My File.txt" 1000创建一个1000字节的新文件，如果已经存在同名文件，则将其覆盖。

0Open "D:\My File.txt"Open "D:\*.txt"打开指定格式的文件，如果通配符为“?”则winhex会让用户选择要打开的文件。

0 Open C:Open D:打开指定的逻辑驱动器。

如果通配符为“:?”则winhex会让用户选择要打开的逻辑驱动器或者磁盘。

Open 80hOpen 81hOpen 9Eh打开指定的物理介质。

软盘的为00h，硬盘与u盘为80h，光盘为9Eh。

可以增加第二个参数来设定文件或者介质的编辑模式（“in-place”或者“read-o nly”）0CreateBackup为活动文件的当前状态创建WHX备份。

0CreateBackupEx 0 100000 650 true "F:\My backup.whx"备份当前活动磁盘中从0扇区到100000扇区的数据。

Winhex手工恢复目录乱码

打开分区目录全部变成乱码的恢复描述：一移动硬盘，整盘分为一个分区，ＦＡＴ３２格式，磁盘属性中显示已使用容量正常，但打开后所有文件夹和文件呈现乱码状态，无法访问，如图１所示：用软件进行扫描后，恢复的目录结构不理想。

需要恢复的文件为专用应用程序生成的文档，数量很大，如果按ＲＡＷ方式恢复，则文件名将无法复原，从文件的可用性来讲是不可行的。

分析：一移动硬盘，整盘分为一个分区，ＦＡＴ３２格式，磁盘属性中显示已使用容量正常，但打开后所有文件夹和文件呈现乱码状态，无法访问，如图１所示：图1用软件进行扫描后，恢复的目录结构不理想。

需要恢复的文件为专用应用程序生成的文档，数量很大，如果按ＲＡＷ方式恢复，则文件名将无法复原，从文件的可用性来讲是不可行的。

分析：因磁盘内文件容量显示正常，所以判断ＦＡＴ表应该正常。

而根目录下的目录及文件呈现乱码，应该是根目录下的目录项出现了问题。

恢复方案：用ＷＩＮＨＥＸ进行底层分析，手工修改目录项，使数据得以还原。

过程：对原盘进行全盘镜象，并复制并保存一份副本。

用Winhex打开镜象：方法一：可以用“文件――打开”选项（图２）或点击“打开文件”快捷键（图３）打开镜象文件。

图2图3通过这种方式打开后，必须选择“专用――解释映象文件为磁盘”选项使ＷＩＮＨＥＸ把镜象文件解释为以５１２字节为一个扇区单位的磁盘。

如图４：图4方法二：ＷＩＮＨＥＸ还有一个“容器”功能，可以以目录树的方式呈现磁盘内的目录和文件结构，可以依次打开“查看――显示”菜单，勾选“容器数据”选项（图５），即可调出容器窗口，图６：图5图6然后单击“容器数据”窗口内的“文件”，在弹出的下拉菜单中选择“创建新的容器”，在弹出的“容器数据”窗口的“容器标题/数字”内为新创建的容器输入一个名字，在此我们为容器输入的名字是“1”，然后“确定”，如图７，可以看到容器“1”已经出现在窗口中：图7接着再次点击“容器数据”窗口内的“文件”，在弹出的下拉框中选择“添加映像”，即可将映象加入到容器中，Winhex已经直接将镜象解释为磁盘，图8：图8现在打开的是整个物理磁盘，为了便于分析，可以依次选择图8所示的“访问――分区1（37.3GB,FAT32）――打开”来打开逻辑磁盘。