如何用winhex恢复数据?winhex数据恢复教程
2024-09-07 07:20:07来源:www.luwei123.com发布:LR
如何用winhex恢复数据?很多用户,删除数据的时候,不小心删除了一些有用的文件,怎么办呢?其实,数据删除后咱们可以利用有关的数据恢复工具来恢复,小编就来介绍一下winhex数据恢复软件是如何恢复删除的数据的。
winhex恢复数据教程
1、打开磁盘
2、直接恢复文件
如果文件是不久前删除的话,可以看到已经删除的文件,这时便可以直接恢复文件了。
3、通过$MFT恢复文件
如果在文件列表里没有看到已删除的文件,那么可以从$MFT里恢复。
$MFT,主文件表(Master File Table),存在于是NTFS文件系统里。当文件在硬盘上删除后,文件记录并没有从$MFT里删除,因此可以从$MFT里恢复已删文件。
1)打开$MFT
右键点击“$MFT”,然后点击“打开”。
2)查找要恢复的文件
按组合键CTRL F弹出窗口,输入要恢复的文件名或关键词,选择“Unicode”。
3)找到要恢复的文件记录
找到要恢复的文件记录,接着是进行数据分析,这是恢复过程中最关键的一步。分析如下:
红色圈出的FILE0,是文件头的开始标识。偏移文件头16H的位置,即蓝色圈出的00,00表示该文件已经被删除。
红色圈出的80,是数据属性的标识。在偏移8H的位置,如果是01,即蓝色圈出的地方(本例是01,如果是00,则接下来的分析要看这里如何使用WinHex恢复删除的文件(2)),那么要看偏移30H的地方,即蓝色圈出的D9 F1 07,这个便是文件的大小,十六进制表示为“7F1D9”。再看偏移40H的地方,即蓝色圈出的42 80 00 BC 50 2B 01,42表示后面的数据中,前两个是族数,这里为80个族,后四个是族号的开始位置,十六进制表示为“12B50BC”。
这个分析主要是得到两个数据,族的起始位置和文件大小。
4)通过族的起始位置和文件大小来恢复文件
切换到磁盘窗口,选中$MFT,然后按组合键CTRL G,输入族的起始位置19615932(把十六进制12B50BC转换为十进制,百度一下转换工具吧,可以在此网页里转换http://jinzhi.supfree.net/)。
点击确定后,在鼠标出现的地方,点击右键,然后点击“选块起始”。
按组合键ALT G,弹出转到偏移量的窗口,这里选择相对于“当前位置”,然后输入7F1D9(第三步分析中得到的文件大小,十六进制)。
点击确定后,在鼠标出现的地方,点击右键,然后点击“选块结束”。
选块结束
选块结束后,在鼠标出现的地方,点击右键,然后点击“编辑”。
点击编辑后,然后点击“复制选块-至新文件”,在弹出窗口里,输入文件名,即可恢复文件。
上一篇: 护卫神好备份系统怎么用?护卫神好备份系统文件备份详细教程 下一篇: 最后一篇
相关阅读
- 09-07 护卫神好备份系统怎么用?护卫神好备份系统文件备份详细教程
- 09-07 淘最热点中如何邀请好友 具体操作流程
- 09-07 vivox23幻彩版设置指纹解锁具体操作流程
- 09-07 现在金价多少一克-现在金价多少一克回收
- 09-07 无偿受赠房子,个税怎么缴?
- 09-07 工行百万定存五年利率是多少?
- 09-07 关于工商银行最新利率:您知道具体的年利率是多少吗?
- 09-07 存本取息如何计算利息?疑问解答。
- 09-07 银行存款固定利率率,定期存款利率
- 09-07 农业银行定期存款十万,利息究竟有多少?
- 09-07 关于定期存款三年期限,存款金额达一百万,预期收益是多少?
- 09-07 江西银行存款利率一览表 吉安县江西银行存款利息