如何用winhex恢复数据?winhex数据恢复教程 _睿知

如何用winhex恢复数据?很多用户，删除数据的时候，不小心删除了一些有用的文件，怎么办呢?其实，数据删除后咱们可以利用有关的数据恢复工具来恢复，小编就来介绍一下winhex数据恢复软件是如何恢复删除的数据的。
winhex恢复数据教程
1、打开磁盘

文章插图
2、直接恢复文件
如果文件是不久前删除的话，可以看到已经删除的文件，这时便可以直接恢复文件了。
【如何用winhex恢复数据?winhex数据恢复教程】

文章插图
3、通过$MFT恢复文件
如果在文件列表里没有看到已删除的文件，那么可以从$MFT里恢复。
$MFT，主文件表(Master File Table)，存在于是NTFS文件系统里。当文件在硬盘上删除后，文件记录并没有从$MFT里删除，因此可以从$MFT里恢复已删文件。
1)打开$MFT
右键点击“$MFT”，然后点击“打开” 。

文章插图
2)查找要恢复的文件
按组合键CTRL F弹出窗口，输入要恢复的文件名或关键词，选择“Unicode” 。

文章插图
3)找到要恢复的文件记录

文章插图
找到要恢复的文件记录，接着是进行数据分析，这是恢复过程中最关键的一步。分析如下：
红色圈出的FILE0，是文件头的开始标识。偏移文件头16H的位置，即蓝色圈出的00，00表示该文件已经被删除。
红色圈出的80，是数据属性的标识。在偏移8H的位置，如果是01，即蓝色圈出的地方(本例是01，如果是00，则接下来的分析要看这里如何使用WinHex恢复删除的文件(2))，那么要看偏移30H的地方，即蓝色圈出的D9 F1 07，这个便是文件的大小，十六进制表示为“7F1D9” 。再看偏移40H的地方，即蓝色圈出的42 80 00 BC 50 2B 01，42表示后面的数据中，前两个是族数，这里为80个族，后四个是族号的开始位置，十六进制表示为“12B50BC” 。
这个分析主要是得到两个数据，族的起始位置和文件大小。
4)通过族的起始位置和文件大小来恢复文件
切换到磁盘窗口，选中$MFT，然后按组合键CTRL G，输入族的起始位置19615932(把十六进制12B50BC转换为十进制，百度一下转换工具吧，可以在此网页里转换http://jinzhi.supfree.net/) 。