winhex

具體來說，WinHex是一款以通用的16進位編輯器為核心，專門用來對付計算機取證、數據恢復、低級數據處理、以及IT安全性、各種日常緊急情況的高級工具：用來檢查和修復各種文件、恢復刪除文件、硬碟損壞、數碼相機卡損壞造成的數據丟失等。功能包括（依照授權類型）：

*查看，編輯和修復磁碟，可用於硬碟，軟盤，以及許多其它可存儲介質類型。

*支持FAT12/16/32,exFAT,NTFS,Ext2/3/4,Next3,CDFS,UDF

*內置RAID和動態磁碟分析器

*RAM編輯器，可直接查看/編輯被調試程序的虛擬內存

*數據解釋器，精通20種數據類型

*使用模板編輯數據結構

*連接，分割，合併，分析和比較文件

*智能搜索和替換功能，進行替換時，如果替換字元大於或小於原始字元時可進行選擇性操作

*不同驅動器克隆以及驅動器鏡像解釋

*腳本和應用程序介面（API）

*用於文件和磁碟的成熟的撤消和備份機制

*加密和解密數據，Hash計算（校驗和，CRC32，MD5，SHA-1，...）

*粉碎文件和磁碟數據，粉碎后的文件和磁碟數據任何人都不可能進行恢復

*支持所有剪貼板格式的導入

*數據格式轉換，支持二進位，16進位ASCII，Intel16進位，及Motorola-S等數據之間的相互轉換；

*隱藏數據和查找隱藏數據

*支持打開超過4GB的文件，而且速度很快

*用於計算機進程的眾多顯著有效的高級功能

在Winhex中集成了強大的工具，包括磁碟編輯器，Hex轉換器和RAM編輯工具，並能夠方便的調用系統常用工具如：計算器，記事本，瀏覽器等。在未登記註冊的版本中，可以編輯，但不能保存大小超過512K的文件且只能瀏覽而不能修改編輯RAM區域。按F8，彈出十六進位和十進位轉換器，左邊欄顯示十六進位數字，右邊欄顯示十進位數字。如果你在左邊輸入十六進位數，按Enter其十進位結果就出現在右邊的矩形框中了，反之亦然。如果你按組合鍵Alt+F8，可調用系統計算器。

Winhex使用簡單，功能強大，可以方便你程序的調試、文本編輯、科學計算和系統管理，相信你會喜歡的。如果你想刪除Winhex軟體，簡單，把整個目錄幹掉就行了

在DOS時代，我們編輯文件代碼用的一般都是PCTOOLS5.0，可是自從FAT32出現以來，PCTOOLS5.0不能用了，就很少優秀的文件編輯器出現過，不過現在筆者向大家介紹的這一款winhex可以說是繼前者之後的最優秀的文件編輯器了。

作為一個16進位文件編輯與磁碟編輯軟體。WinHex以文件小、速度快，功能強大而著稱，連ZDNetSoftwareLibrary也給了他5星的最高評價。它可以勝任Hex和ASCII碼編輯修改，多文件尋替換功能，一般運算及邏輯運算，磁碟磁區編輯（支持FAT16、FAT32和NTFS）自動搜尋編輯，文件比對和分析，編輯內存裡面的資料等功能.

首先我們到這裡去下載一個814KB大小的中文漢化版本的WINHEX，漢化版本更加容易使用嘛，值得一提的是WINHEX是免費軟體，你可以在所有的WINDOWS平台上面運行。安裝過程非常簡單，成功安裝之後，程序圖標就會出現在“開始→程序”菜單和桌面上。其界面由標題欄、工具欄、菜單欄、圖片瀏覽區和狀態欄組成。下面我們來簡要介紹一下：

◇功能菜單：WINHEX的菜單欄由八個菜單組成，分別是：文件、編輯、查找、位置、工具、選項、文件管理器、窗口和幫助。所有的功能都已經包含在裡面了。在文件菜單裡面包含的是新建、打開文件和保存以及退出命令，另外還有備份管理、創建備份和載入備份功能。在編輯菜單裡面除了複製粘貼之類的常見命令之外還有對數據格式進行轉換和修改的功能。查找功能是方便您在文件裡面查找特定的文本內容或者是十六進位代碼的，支持整數值和浮點數值。位置菜單裡面的命令就是讓你在編輯大體積的文件的時候能夠方便地進行定位，你可以根據其中的偏移地址或者是區塊的位置來快速定位。工具菜單裡面包括的都是一些十分實用的功能，譬如磁碟編輯工具（類似PCTOOLS裡面的DISKEDIT）、文本編輯工具（類似記事本）、計算器、模板管理工具和十進位、十六進位轉換器等等。如果你要對WINHEX的功能進行設置，那麼就必須進入選項菜單了，裡面除了常規選項的設置，還有安全性設置和還原選項設置。在文件管理菜單中，你可以對文件進行分割、比較、複製和剖析，功能十分強大。“工具”選項裡面包含的是文件新建、打開、保存、列印、屬性工具；剪切、粘貼和複製編輯工具；查找文本和Hex值，替換文本和Hex值；文件定位工具、RAM編輯器、計算器、區塊分析和磁碟編輯工具等等。這些功能除了在菜單裡面進行選擇之外，還可以通過菜單下面的一列快捷按鈕來執行。

◇在使用Winhex時首先打開一個需要處理的文件，窗口中顯示十六進位HEX格式的數值和地址。在旁邊的區域顯示文件名稱、大小、創建時間、最後修改日期，窗口屬性以及相關信息。利用滑鼠拖放功能你可以選擇一塊數值進行修改編輯。按Ctrl+T，彈出數據修改對話框，選擇數據類型和位元組變換方式，可以方便的修改區塊中的數據。執行文件菜單中的創建備份命令，彈出備份對話框，你可以指定備份的文件名和路徑、備份說明，還可以選擇是否自動由備份管理指定文件夾，是否保存檢查和摘要，是否壓縮備份和加密備份，這樣你可以方便的將你的文件進行備份，下次執行文件菜單中的裝載備份就可以打開備份文件了，十分方便

◇強大的查找功能：Winhex具有強大的查找搜索功能，可以查找和替換文本或Hex值。選擇搜索菜單中的聯合搜索項，彈出搜索對話框，先輸入該文件要搜索的十六進位值選擇通配符和搜索的範圍就可以開始搜索了。你可以選擇在整個文件中搜索，也可選擇僅在區塊中進行有條件的搜索。而且在Winhex中可以方便的進行定位操作，快速轉道新的位置。執行定位菜單中的標記定位命令，或按Ctrl+L，將滑鼠指向需要定位的位置，就可以在當前滑鼠所在的位置作上標記，不管你操作到什麼地方，按組合鍵Ctrl+k，就可以返回到標記所在的位置。執行定位菜單中的刪除標記命令，可以將所作的標記刪除。除了利用標記定位以外，你還可以方便的轉到文件的開始和結尾，區塊的開始和結尾，行首和行尾以及頁首和頁尾。你可以自己試一試，相信你很快就知道了。

◇Winhex集成了強大的工具，包括磁碟編輯器，計算器，Hex轉換器和RAM編輯工具，使用十分方便。按F9，彈出磁碟編輯器對話框，首先選擇磁碟分區，然後按確定按鈕就可以方便的對磁碟的空餘空間進行清理。點擊工具欄中的RAM編輯工具按鈕，彈出RAM編輯器，選擇需要瀏覽或編輯修改的RAM區，選擇確定就可以了，RAM的內容就顯示在主窗口了。

如果您在PCTOOLS之後再也沒有碰到過稱心的十六進位編輯器，那麼我推薦你使用WINHEX。

功能包括:

-硬碟,軟盤,CD-ROM和DVD,ZIP,SmartMedia,CompactFlash,等磁碟編輯器。

-支持FAT,NTFS,Ext2/3,ReiserFS,Reiser4,UFS,CDFS,UDF文件系統。

-支持對磁碟陣列RAID系統和動態磁碟的重組、分析和數據恢復。

-多種數據恢復技術。

-可分析RAW格式原始數據鏡像文件中的完整目錄結構，支持分段保存的鏡像文件。

-數據解釋器,已知20種數據類型。

-使用模板編輯數據結構(例如:修復分區表/引導扇區)。

-連接和分割、以奇數偶數位元組或字的方式合併、分解文件。

-分析和比較文件。

-搜索和替換功能尤其靈活。

-磁碟克隆(可在DOS環境下使用X-WaysReplica)。

-驅動器鏡像和備份(可選壓縮或分割成650MB的檔案)。

-程序介面(API)和腳本。

-256位AES加密,校驗和,CRC32,哈希演演算法(MD5,SHA-1,...)。

-數據擦除功能，可徹底清除存儲介質中殘留數據。

-可導入剪貼板所有格式數據,包括ASCII、16進位數據。

-可進行2進位、16進位ASCII,Intel16進位,和MotorolaS轉換。

-字符集:ANSIASCII,IBMASCII,EBCDIC,(Unicode)。

-立即窗口切換、列印、生成隨機數字。

-支持打開大於4GB的文件，非常快速，容易使用。

-廣泛的聯機幫助。

WinHex計算機法證版

X-WaysForensics-它能讓計算機上所有的位和位元組都在您的指尖下變成現實。購買前可免費試用。

X-WaysForensics13.9以後的版本只有正式用戶才可下載(下載地址在購買后提供)。

特別注意

盡量不要解壓至中文名文件夾下，否則運行出錯！

V16.8更新內容：

WinHex可以用來檢查和修復各種文件、恢復刪除文件、硬碟損壞造成的數據丟失等。

12.8sr-2更新內容：

*現在可以在容器根層遞歸探索證據對象概況，在基於動態填充設置上，可以在一個方便的平面視圖中列出所有子目錄中的所有文件。

*X-WaysForensics現在可以在內部重新彙編硬體RAID5系統到級別0，並且支持奇偶校驗。

*如果一個RAID系統添加到一個容器作為證據對象，當名稱或位置改變時現在可以很容易替換RAID系統的一部分。

*一些在RAM編輯器中被隱藏的進程現在能夠列出。

*現在可以間接填充證據文件內容。

*可以選取報告表中某幾列到容器報名中。(查看容器屬性)

*更進一步改進文件路徑太長的兼容性。

*修正12.7版本自動檢測物理磁碟RAW映象為單獨的分區映象。

*幾個其它局部改進和錯誤修正

*針對UFS在線提供不同的模板。

*更多更新內容請到網站時事通訊中查看

設置中文的方法

點擊菜單欄最後的“help”-“setup”-“Chinese,please!”

軟體使用說明

下面我們來看看該軟體的使用。

標題欄：與一般的應用軟體一樣，標題欄中顯示軟體名稱和當前打開的文件名稱；

菜單欄：Winhex的菜單欄由八個菜單項組成－文件菜單、編輯菜單、搜索、定位、工具、選項菜單、文件管理、窗口和幫助菜單。

在文件菜單中，除了常規的新建、打開文件和保存以及退出命令以外，還有備份管理、創建備份和載入備份功能。選擇文件菜單中的屬性項，彈出文件屬性窗口，包括文件路徑、名稱、大小、創建時間和修改日期等內容。在編輯菜單中，除了常規的複製、粘貼和剪切功能外，還有數據格式轉換和修改的功能。在搜索菜單中，你可以查找或替換文本內容和十六進位文件，搜索整數值和浮點數值。在定位菜單中，你可以根據偏移地址和區塊的位置快速定位。在工具菜單中，包括磁碟編輯工具、文本編輯工具、計算器、模板管理工具和Hex轉換器，使用十分方便。在選項菜單中，包括常規選項設置、安全性設置和還原選項設置。

在Winhex的工具欄中，包括文件新建、打開、保存、列印、屬性工具；剪切、粘貼和複製編輯工具；查找文本和Hex值，替換文本和Hex值；文件定位工具、RAM編輯器、計算器、區塊分析和磁碟編輯工具；選項設置工具和幫助工具按鈕。通過使用工具欄中的快捷按鈕可以更方便的進行操作，這些和菜單中相應的命令是一樣的。

在使用Winhex之前需要進行相應的選項設置，點擊工具欄中的選項設置快捷圖標按鈕，彈出選項設置對話框。它包括是否將WinHex作為默認關聯，是否添加WinHex到上下文菜單，是否不更新文件名，是否快速打開文件以及是否顯示文件圖標和工具欄。而且你還可以設置最近打開的文件列表中文件的數目，選擇是否用TAB鍵產生標記，設置臨時文件夾、備份文件夾和文本編輯的路徑。在常規設置中，你可以選擇是否選擇顯示雙游標和頁分隔符，是否逐行滾動，是否顯示Windows進度條，此外你還可以設置字體類型和顏色，相信你很快就學會了。執行選項菜單中的安全項，彈出安全保護選項設置窗口，你可以選擇是否限制驅動控制，是否計算標準檢查和扇區讀入緩存以及是否確認更新文件。另外你可以選擇是否自動檢查磁簇，是否總顯示恢復報告，是否對下個會話保持驅動映像，是否隱蔽輸入加密關鍵碼（*****）以及檢查虛擬內存變換和在RAM中是否保留密匙。在所有設置完成後，點擊保存按鈕，然後按確定按鈕返回主窗口。

數據恢復分類

硬恢復和軟恢復。所謂硬恢復就是硬碟出現物理性損傷，比如有盤體壞道、電路板晶元燒毀、盤體異響，等故障，由此所導致的普通用戶不容易取出裡面數據，那麼我們將它修好，同時又保留裡面的數據或後來恢復裡面的數據，這些都叫數據恢復，只不過這些故障有容易的和困難的之分；所謂軟恢復，就是硬碟本身沒有物理損傷，而是由於人為或者病毒破壞所造成的數據丟失（比如誤格式化，誤分區），那麼這樣的數據恢復就叫軟恢復。因為硬恢復還需要購買一些工具設備（比如pc3000，電烙鐵，各種晶元、電路板），而且還需要懂一點點電路基礎，我們主要使用軟恢復。

數據恢復的前提

數據不能被二次破壞、覆蓋！

硬碟數據結構

下面是一個分了三個區的整個硬碟的數據結構

MBRC盤EBRD盤EBRE盤

MBR，即主引導紀錄，位於整個硬碟的0柱面0磁軌1扇區，共佔用了63個扇區，但實際只使用了1個扇區（512位元組）。在總共512位元組的主引導記錄中，MBR又可分為三部分：第一部分：引導代碼，佔用了446個位元組；第二部分：分區表，佔用了64位元組；第三部分：55AA，結束標誌，佔用了兩個位元組。後面我們要說的用winhex軟體來恢復誤分區，主要就是恢復第二部分：分區表。

引導代碼的作用

就是讓硬碟具備可以引導的功能。如果引導代碼丟失，分區表還在，那麼這個硬碟作為從盤所有分區數據都還在，只是這個硬碟自己不能夠用來啟動進系統了。如果要恢復引導代碼，可以用DOS下的命令：FDISK/MBR；這個命令只是用來恢復引導代碼，不會引起分區改變，丟失數據。另外，也可以用工具軟體，比如DISKGEN、WINHEX等。

但分區表如果丟失，後果就是整個硬碟一個分區沒有，就好像剛買來一個新硬碟沒有分過區一樣。是很多病毒喜歡破壞的區域。

EBR，也叫做擴展MBR（ExtendedMBR）。因為主引導記錄MBR最多只能描述4個分區項，如果想要在一個硬碟上分多於4個區，就要採用擴展MBR的辦法。

MBR、EBR是分區產生的。

比如MBR和EBR各都佔用63個扇區，C盤佔用1435329個扇區……那麼數據結構如下表：

631435329631435329631253889

MBRC盤EBRD盤EBRE盤

擴展分區

而每一個分區又由DBR、FAT1、FAT2、DIR、DATA5部分組成：比如C盤的數據結構：

C盤

DBRFAT1FAT2DIRDATA

恢復教程

Winhex有完善的分區管理功能和文件管理功能，能自動分析分區鏈和文件簇鏈，能對硬碟進行不同方式不同程度的備份，甚至克隆整個硬碟；它能夠編輯任何一種文件類型的二進位內容（用十六進位顯示）其磁碟編輯器可以編輯物理磁碟或邏輯磁碟的任意扇區，是手工恢複數據的首選工具軟體。

首先要安裝Winhex，安裝完了就可以啟動winhex了，啟動后，首先出現的是啟動中心對話框。

這裡我們要對磁碟進行操作，就選擇“打開磁碟”，出現“編輯磁碟”對話框：

在這個對話框里，我們可以選擇對單個分區打開，也可以對整個硬碟打開，HD0是我現在正用的西部數據40G系統盤，HD1是我們要分析的硬碟，邁拓2G。這裡我們就選擇打開HD1整個硬碟，再點確定。然後我們就看到了Winhex的整個工作界面。

最上面的是菜單欄和工具欄，下面最大的窗口是工作區，現在看到的是硬碟的第一個扇區的內容，以十六進位進行顯示，並在右邊顯示相應的ASCII碼，右邊是詳細資源面板，分為五個部分：狀態、容量、當前位置、窗口情況和剪貼板情況。這些情況對把握整個硬碟的情況非常有幫助。另外，在其上單擊滑鼠右鍵，可以將詳細資源面板與窗口對換位置，或關閉資源面板。（如果關閉了資源面板可以通過“察看”菜單——“顯示”命令——“詳細資源面板”來打開）。

最下面一欄是非常有用的輔助信息，如當前扇區/總扇區數目……等

向下拉拉滾動條，可以看到一個灰色的橫杠，每到一個橫杠為一個扇區，一個扇區共512位元組，每兩個數字為一個位元組，比如00。

下面我們來分析一下MBR，因為前面我們說過，前446個位元組為引導代碼，對我們來說沒有意義，這裡我們只分析分區表中的64個位元組。

分區表64個位元組，一共可以描述4個分區表項，每一個分區表項可以描述一個主分區或一個擴展分區（比如上面的分區表，第一個分區表項描述主分區C盤，第二個分區表項描述擴展分區，第三第四個分區表項填零未用）

每一個分區表項各佔16個位元組，各位元組含義如下：（H表示16進位）

位元組位置內容及含義

第1位元組引導標誌。若值為80H表示活動分區；若值為00H表示非活動分區。

第2、3、4位元組本分區的起始磁頭號、扇區號、柱面號

第5位元組分區類型符：

00H——表示該分區未用

06H——FAT16基本分區

0BH——FAT32基本分區

05H——擴展分區

07H——NTFS分區

0FH——（LBA模式）擴展分區

83H——Linux分區

第6、7、8位元組本分區的結束磁頭號、扇區號、柱面號

第9、10、11、12位元組本分區之前已用了的扇區數

第13、14、15、16位元組本分區的總扇區數

此硬碟的第一分區表（即MBR）分析如下：

第一個分區表項（C盤）

第1位元組80：表示此分區為活動分區；

第5位元組0B：表示分區類型為Fat32；

第9、10、11、12位元組系統隱含扇區3F000000：所謂系統隱含扇區就是本分區（C盤）之前已用了的扇區數，這是一個十六進位數，但要注意：真正的隱含扇區數應該反過來填寫（比如：隱含扇區數為3E4D5A6F，則反過來就是6F5A4D3E，這才是實際的隱含扇區數）。那麼，3F000000反過來寫就是0000003F，也就是3F，將他轉成十進位數我們才能知道實際的隱含扇區數是多大。這可以使用計算器來算，單擊工具欄上的“計算器”按鈕，如下圖：

這樣就啟動了計算器

計算器有兩種型號，我們要進行進位轉換，就要選擇“科學型”

比如我們要將十六進位3F轉換為十進位，就要先選中“十六進位”，然後輸入3F

再選中“十進位”，十六進位3F轉為十進位等於63。想一想我們前面所講的，MBR佔用63個扇區，也就是C盤之前已用了的扇區數為63，第64個扇區就是C盤的第一個扇區，但要注意的是，整個硬碟的LBA地址是從零開始的，0~62的扇區為MBR。

第13、14、15、16位元組本分區總扇區數（當然，這也就是C盤的大小）：C1E61500，同樣，實際的十六進位數也要反過來才對，也就是0015E6C1，將它轉換成十六進位數是1435329。給你出個題，你知道D盤的EBR在哪個扇區嗎？我們一起來算一下，還記得前面數據結構那個表嗎？C盤後面不就是D盤的EBR嗎？D盤EBR的第一個扇區=MBR+C盤的大小，也就是63+1435329=1435392。

我們來看看對不對，單擊工具欄上的“轉到扇區”按鈕，出現一個“轉到扇區”對話框

然後輸入1435392，再點“確定”，就到了1435392扇區了（你可以使用它再轉回到0扇區）

這個就是D盤的EBR，也就是D盤的分區表了，怎麼知道的呢？因為MBR和EBR的結構是完全一樣的，都是佔用了63個扇區，但只用了第一個扇區，其餘62個扇區填零不用。第一個扇區前446個位元組都為引導代碼，后64個位元組為分區表，最後2個位元組為55AA結束標誌。因為EBR不是活動分區，不需要引導代碼，所以前446個位元組為零。

還有另一種方法直接找到D盤的EBR，扇區.

這樣，分區表中的第一個分區表項共十六個位元組分析完畢，下面我們再來看看第二個分區表項（擴展分區）。

第1位元組00：表示非活動分區

第5位元組05：表示擴展分區

第9、10、11、12位元組00E71500：本分區之前的扇區數（擴展分區前面也就是MBR和C盤，好像我們前面算過這個數？）同樣，先將它反過來，就是0015E700，再轉為十進位是1435392，看來我們前面真的算過這個數。

第13、14、15、16位元組40092900：本分區的總扇區數。也就是擴展分區的總扇區數。轉為十進位應該是2689344。想一想，用這個數加上前面的1435392，不正好是整個硬碟的總扇區數4124736嗎？

這樣，如果分區表被破壞，我們只要把這些數值都計算出來並填上，分區表不就恢復了？那麼，這裡我們為什麼不分析第2、3、4位元組（本分區的起始磁頭號、扇區號、柱面號）和第6、7、8位元組（本分區的結束磁頭號、扇區號、柱面號）呢？這是因為C/H/S（柱面/磁頭/扇區）是老式硬碟的定址方式，這種定址方式來管理硬碟效率很低；而現在幾乎所有的硬碟都支持LBA（全稱是LogicBlockAddress，即扇區的邏輯塊地址）定址方式，這種管理方式簡單高效。在LBA方式下，系統把所有的物理扇區都統一編號，按照從零到某個最大值排列，這樣只用一個序數就確定了一個唯一的物理扇區。

小知識：具體一個硬碟有多少個LBA（扇區）不需要我們去記憶，因為用各種工具軟體（如MHDDWINHEX等）都可以檢測到。我們只要知道個大概就行了：如10G的硬碟大概有2000萬個扇區；20G的硬碟大概有4000萬個扇區；40G的硬碟大概有8000萬個扇區……那麼，2G的硬碟大概有400萬個扇區。

那麼，你可能要問了：如果要恢復分區表，這個起始磁頭號、扇區號、柱面號還有結束磁頭號、扇區號、柱面號應該怎麼填呢？簡單得很，在後面恢復分區表的時候我會告訴你，直接填，都不用計算。

還有興趣來分析一下D盤的EBR嗎？

其實D盤的EBR和E盤的EBR我們不分析也罷，因為無非也是分區表，跟MBR的結構是一樣的，但卻很容易把我們繞暈，又因為EBR一般不容易被破壞，所以我不建議分析EBR。

但如果你一定要分析，那就分析吧。

單擊“訪問”下拉按鈕——“分區二”——“分區表”，直接就到1435392扇區，即D盤的分區表EBR。

第一個分區表項（D盤）：

第1個位元組00：表示非活動分區

第5個位元組06：表示FAT16分區

第9、10、11、12位元組3F000000：本分區之前已用了的扇區數，也就是EBR的數目，63個。

第13、14、15、16位元組C1E61500：本分區的總扇區數，也就是D盤的扇區數，先反過來排列就是0015E6C1，轉為十進位就是1435329。

第二個分區表項（D盤後面的）：

第1個位元組00：表示非活動分區

第5個位元組05：表示擴展分區

第9、10、11、12位元組00E71500：本分區之前已用了的扇區數，也就是D盤的EBR加D盤總共的大小，63+1435329=1435392

第13、14、15、16位元組40221300：本分區的總扇區數，1253952，也就是E盤的大小再加上一個EBR的數目。

單擊“訪問”下拉按鈕——“分區三”——“分區表”，直接就到2870784扇區，即E

盤的分區表EBR。因為E盤後面沒有分區了，所以沒有第二個分區表項。這裡我們就不再研究了，有興趣的話可以自己多備一塊硬碟作從盤，然後自己分分區研究研究。

通過以上的研究我們總結一下，MBR在定義分區的時候，將多餘的容量定義為擴展分區，指定該擴展分區的起止位置，根據起始位置指向硬碟的某一個扇區，作為下一個分區表項，接著在該扇區繼續定義分區，如果只有一個分區，就定義該分區，然後結束；如果不止一個分區，就定義一個基本分區和一個擴展分區，擴展分區再指向下一個分區描述扇區，在該分區上按照上述原則繼續定義分區，直至分區定義結束。這些用來描述分區的扇區形成一個“分區鏈”，通過這個分區鏈，就可以描述所有的分區。系統在啟動時按照分區鏈的連接順序查找分區，直至找出所有分區。這個鏈顯然是個開鏈結構，如果形成一個環，系統本身並不會去判斷它，它只是按照這個鏈忠實的查找分區，而不進行任何額外的檢測與處理。所謂硬碟邏輯鎖，就是讓分區鏈形成一個環，這樣系統在啟動時就在分區表內循環，表現為系統無法引導，就是從軟盤啟動，也不能進入硬碟。明白了其結構原理，解決這個問題就簡單了，目前有很多種方法解決這個問題，後面我們還會講到。系統就是利用這種方法使一個硬碟分區后看起來象多個硬碟。系統能夠找到C盤以外的其他邏輯盤的唯一辦法就是，沿著EBR所描述的分區鏈查找分區。

其實，通常情況下EBR是不會被破壞的，或者破壞的幾率極低極低，通常情況下，都是只有MBR被破壞，那麼這種情況下，我們只要把MBR的分區表64個位元組復原，其他的分區順著分區表所提供的鏈自然而然就出來了。那麼，如何才能將分區表復原呢？這就要通過計算結合Winhex強大的功能來實現了。

下面我們就來模仿分區表被病毒破壞的情況，將MBR全部填零。我們首先將MBR所在的扇區選中。滑鼠指向第一個位元組，單擊右鍵，選擇“選塊開始”

然後滑鼠指向MBR的最後一個位元組，單擊右鍵，選擇“選塊結尾”

然後我們在選區內部單擊滑鼠右鍵，選擇“編輯”

這樣就有出來一個菜單

然後我們選“填充選塊”，這樣就出來一個填充選塊對話框

在“用十六進位填充”的輸入框中輸入“00”，再點“確定”

這樣MBR所在扇區全部被我們填充為“00”

如果想取消選區，那就用滑鼠拖動隨便選中一塊區域，那麼原來的選區就會取消。注意，如果扇區數據被修改了而沒有存檔就會變為別的顏色。

修改了扇區，這時候還沒有存檔生效，如果你想存檔生效的話，就選擇“文件”菜單“保存扇區”命令。

這時候就會出現一個提示，如果你不想存檔了就點取消，如果想存檔，就點確定，再點是。

好，這樣就存檔了，扇區被修改的數據又變為黑色。

這樣我們就把分區表給刪除了，這時候必須重新啟動才能生效，如果你打開我的電腦，會發現三個分區（F、G、H）還在那裡，並且裡面的數據還能正常使用。

現在，我們關閉所有程序將電腦重新啟動……

經過不長時間的等待，電腦啟動起來了，我們打開我的電腦看看，發現F、G、H三個分區不見了。

再打開Winhex發現MBR全部為零了，下面我們就著手開始手工恢復分區表

首先恢復引導代碼，這最簡單了，只要用Winhex到別的系統盤把引導代碼複製過來就行了。我現在的機器上不是掛著兩個硬碟嗎？一個邁拓2G，一個西數40G，西數40G是我的系統盤，那就從這個盤上複製就行了。

單擊“磁碟編輯器”按鈕

出現“編輯磁碟”對話框

選擇“HD0WDCWD400EB---00CPF0”，點“確定”

這樣我們就把系統盤的分區表給打開了，注意，現在我們是打開了兩個窗口，當前的窗口是“硬碟0”，在標題欄上有顯示。另外，打開窗口菜單也能看出來，當前窗口被打上一個勾，如果想切換回原來的窗口，就點擊“硬碟1”。

首先選中系統盤的引導代碼

然後在選區中單擊滑鼠右鍵，選“編輯”

又出來一個菜單，然後我們選“複製選塊”——“正常”

然後我們切換回硬碟1窗口，在零扇區的第一個位元組處單擊滑鼠右鍵，選“編輯”

然後選“剪貼板數據”——“寫入……”

出現一個窗口提示，點“確定”

這樣，我們就把一個正常系統盤上的引導代碼複製過來了。

下面，我們就開始恢復分區表（共64個位元組，分為4個分區表項，每個分區表項佔用16個位元組，一般只使用前兩個分區表項），我們首先來恢復第一個分區標項（也就是用來描述C盤的）。

首先，在第1個位元組處（0扇區倒數第五行，倒數第二個位元組）填上分區引導標誌，因為C盤是活動分區，所以填上80。

接著是第2、3、4位元組（本分區起始磁頭號、扇區號、柱面號），填上：010100。

第5位元組是分區類型符，因為原先C盤是Fat32格式，所以填上：0B。那麼，如果你不知道C盤是什麼格式怎麼辦呢？你會說問問客戶呀，那麼如果他也不知道呢？別著急，後面在說恢復DBR的時候我會教你怎麼分辨分區的格式。

第6、7、8位元組是本分區的結束磁頭號、扇區號、柱面號，這怎麼知道呢？別著急，現在的磁碟都是按照LBA方式定址，並不按照C/H/S（及柱面、磁頭、扇區）方式定址，所以這個地方你填些什麼一般關係不大，但是我要告訴你有一個通用的填法，那就是：FEFFFF。

第9、10、11、12位元組，本分區之前已用了的扇區數，也就是MBR所佔用的扇區數，那不是63嗎？對，但是要將63轉為十六進位數，再反過來倒著填寫上。還記得怎麼用計算器嗎？將63轉為十六進位數是3F，不夠四個位元組前面加零，也就是0000003F，再將此數從右向左依次序反過來就是3F000000。

第13、14、15、16位元組是本分區的總扇區數，也就是C盤的大小，這就要通過稍微一點點計算來得到了。因為C盤是從第63個扇區開始，而C盤後面緊接著的是EBR，所以用EBR所在的第一個扇區數減去63就是C盤的大小。那麼如何才能找到EBR所在的第一個扇區呢？我們前面說過，EBR的結構和MBR是一樣的，所以，EBR的結束標誌也一定是55AA，那麼，只要我們找到這個結束標誌，再看看這個扇區是不是EBR不就行了？

單擊“搜索”——“查找十六進位數值……”，然後出來一個對話框

在文本框中輸入“55AA”，搜索框中選“全部”，然後選中“條件”，把偏移量設置為“512=510”。

再單擊“確定”。畫面如下：

首先找到第一個“55AA”，我們看到，個扇區在第63個扇區上，並不是我們要找的EBR，再按F3繼續查找

又找到好幾個扇區，都不是，那麼下面這個扇區是不是？

前面我們說過，EBR的結構和MBR的結構是一樣的，所以在倒數第五行倒數第二個位元組應該是0001，並且前446個位元組應該是0，顯然這也不是EBR，繼續按F3查找……終於找到了真正的EBR，在1435392扇區。

小技巧：現在的硬碟都比較大，要逐個扇區的查找55AA確實太慢了，那麼有沒有辦法快點呢？有，那就是先問問客戶C盤大概有多大，大多數客戶還是知道的，比如他說C盤大概有10個G，那麼你就不要從頭開始找了，因為那實在太慢了。10個G大概是2000萬個扇區，那麼你可以用轉到扇區命令直接到1900萬扇區，從那個地方再開始找不就省事多了。

用1435392減去63，得到1435329，再轉為16進位，就是15E6C1，將他倒轉過來就是C1E61500，這就是C盤的大小。這樣，第一個分區表項填寫完畢，我們保存一下，再接著填寫第二個分區表項。

第二個分區表第1個位元組：因為是非活動分區，所以寫00

第2、3、4位元組，填寫010100（通用的）

第5位元組：因為是擴展分區，所以填寫0F

第6、7、8位元組：填寫FEFFFF（通用）

第9、10、11、12位元組是本分區之前已用了的扇區數，應該就是C盤大小加63，也就是1435392，前面剛計算出來的，轉為十六進位數再反過來就是00E71500

第13、14、15、16位元組是本分區的總扇區數，也就是擴展分區的總扇區數，也就是用整個硬碟的大小減去C盤的大小再減去63，即4124736-1435329-63=2689344，轉為十六進位就是290940，反過來就是40092900。

這樣，第二個分區表項就填寫完了。

不要忘了把最後的結束標誌55AA填上，這樣，MBR就全恢復完了，最後，保存，再重新啟動……

啟動完畢，迫不及待的打開我的電腦，發現三個分區全部又回來了，並且裡面的數據完好無損。

再右擊“我的電腦”，選“管理”

出現一個對話框，選“磁碟管理”，在右邊可以看到磁碟一的三個分區（Fat32、Fat16、Ntfs）全部都回來了，至此，手工恢復分區表順利完成。

手工恢複數據恢復成功率比較高，而且比較有趣味和挑戰性，能找回許多傻瓜似的軟體所找不回來的文件，但是要求工程師一定要有耐性，而且一定要保持清醒，清楚自己正在操作什麼，操作完了會有什麼後果，能不能退回到上一步狀態。特別是對一些破壞性操作，一定要考慮周到，只要條件允許，就一定要在操作之前進行備份，否則會造成“血”的教訓，切記！