如何用winhex恢復(fù)數(shù)據(jù)?winhex數(shù)據(jù)恢復(fù)教程

如何用winhex恢復(fù)數(shù)據(jù)?很多用戶(hù) ，刪除數(shù)據(jù)的時(shí)候，不小心刪除了一些有用的文件，怎么辦呢?其實(shí)，數(shù)據(jù)刪除后咱們可以利用有關(guān)的數(shù)據(jù)恢復(fù)工具來(lái)恢復(fù)，小編就來(lái)介紹一下winhex數(shù)據(jù)恢復(fù)軟件是如何恢復(fù)刪除的數(shù)據(jù)的。
winhex恢復(fù)數(shù)據(jù)教程
1、打開(kāi)磁盤(pán)

2、直接恢復(fù)文件
如果文件是不久前刪除的話(huà)，可以看到已經(jīng)刪除的文件，這時(shí)便可以直接恢復(fù)文件了。

3、通過(guò)$MFT恢復(fù)文件
如果在文件列表里沒(méi)有看到已刪除的文件，那么可以從$MFT里恢復(fù) 。
$MFT ，主文件表(Master File Table)，存在于是NTFS文件系統(tǒng)里。當(dāng)文件在硬盤(pán)上刪除后，文件記錄并沒(méi)有從$MFT里刪除，因此可以從$MFT里恢復(fù)已刪文件。
1)打開(kāi)$MFT
右鍵點(diǎn)擊“$MFT” ，然后點(diǎn)擊“打開(kāi)” 。

2)查找要恢復(fù)的文件
按組合鍵CTRL F彈出窗口，輸入要恢復(fù)的文件名或關(guān)鍵詞，選擇“Unicode” 。

3)找到要恢復(fù)的文件記錄

找到要恢復(fù)的文件記錄，接著是進(jìn)行數(shù)據(jù)分析，這是恢復(fù)過(guò)程中最關(guān)鍵的一步。分析如下：
紅色圈出的FILE0，是文件頭的開(kāi)始標(biāo)識(shí) 。偏移文件頭16H的位置，即藍(lán)色圈出的00，00表示該文件已經(jīng)被刪除。
紅色圈出的80，是數(shù)據(jù)屬性的標(biāo)識(shí) 。在偏移8H的位置，如果是01，即藍(lán)色圈出的地方(本例是01 ，如果是00，則接下來(lái)的分析要看這里如何使用WinHex恢復(fù)刪除的文件(2))，那么要看偏移30H的地方，即藍(lán)色圈出的D9 F1 07，這個(gè)便是文件的大?。?十六進(jìn)制表示為“7F1D9” 。再看偏移40H的地方，即藍(lán)色圈出的42 80 00 BC 50 2B 01，42表示后面的數(shù)據(jù)中，前兩個(gè)是族數(shù)，這里為80個(gè)族，后四個(gè)是族號(hào)的開(kāi)始位置，十六進(jìn)制表示為“12B50BC” 。
這個(gè)分析主要是得到兩個(gè)數(shù)據(jù)，族的起始位置和文件大小。
4)通過(guò)族的起始位置和文件大小來(lái)恢復(fù)文件
切換到磁盤(pán)窗口，選中$MFT，然后按組合鍵CTRL G ，輸入族的起始位置19615932(把十六進(jìn)制12B50BC轉(zhuǎn)換為十進(jìn)制，百度一下轉(zhuǎn)換工具吧，可以在此網(wǎng)頁(yè)里轉(zhuǎn)換http://jinzhi.supfree.net/) 。