Winhex 手动修复分区表以提取数据

本文特别提示（请务必仔细阅读）：本文仅针对用“系统自带分区功能进行分区”或者“用较新版本的官方分区软件进行的一次性分区”

这是什么意思呢？
1. 因为各分区软件的分区格式和参数不同，因此即使找到分区表的位置，可能也会因为参数不会填写而无法找回分区。
2. 多次调整分区大小可能导致分区表混乱
3. 官方版本就是指从官方获得的（比如从官方网站下载），非任何第三方个人/组织制作的版本。而比如装机盘里的附带分区工具，这个就不是官方的！
4. 强烈建议减少分区数，分区越多恢复起来越麻烦，分区总数加起来不要超过4个。不然十几个十位数混在一起计算你试试……更何况这里面有一个出错，后面的分区全部无法找回……
5. 本文作者因为最初过于乐观，没有考虑到分区之间不连续的问题，这里致歉。本文所述为一种较为理想的状态，请把握精神，而不要将本文当作救命稻草

===========================================================================

上次我这个半吊子老鸟的让新手快速了解“分区表”，抛弃枯燥反响比较强烈，此外上次的文章回复当中也有朋友提到了期望我能写一写数据恢复软件的用法。由于Disk genius在论坛中有相应教程，我也不再赘述。搜索了一下发现Winhex好像没人写过，那今天就整点高级的看看，希望对新手能有所帮助。

点击过万了，这里提供下载地址。由于图片比较多，所以word 和 pdf的排版可能不尽如人意。此外文中最重要的三张图放在包里了，希望对大家有帮助。

http://u.115.com/file/f2ac72fcda#Winhex_docx.rar

http://u.115.com/file/f240d266b0#Winhex_pdf.rar

要说用这Winhex来手动修复分区表，还不得不对硬盘的分区表有些基础认识，对分区表是何物也不知道的朋友，还是建议你去找找类似的介绍文章，或者看看上面的链接。正文顺序大致如下：

好啦闲话休言，下面就是正文咯~

一．初步运用——双分区恢复实例及分析
1. 现场重现：
提示，切勿随意使用自己的硬盘进行试验，切记试验前保存重要数据。对于移动硬盘，损坏往往发生于硬盘传输数据中断电。现在我将一个有问题的移动硬盘接到电脑上，在“计算机管理”-->“磁盘工具”中我们可以看到这个未被初始化的磁盘显示为黑色（打开磁盘工具时它会提示你要初始化，不理它，点“取消”），在“计算机”中也找不到这个磁盘。

2. 手动修复：（阅读有困难的朋友可以先读完第三节再回过头来看这一节，本节的另一个作用是让新手对Winhex界面有一个初步了解）

（1）打开Winhex-->菜单栏-->选择“工具”-->打开磁盘（F9）-->选择要修复的硬盘，这里是HD2。

（2）打开之后图中显示从0000H-->01ffH（16进制）之间的数据全部为0。

现在我从一个运转良好的硬盘分区表中将0000H-->01bdH之间的数据复制并粘贴到损坏硬盘的相应位置。操作步骤为：在良好硬盘中拉选0000-->01bd之间的区块，被选中区块呈亮蓝色；复制选块；

接下来在损坏硬盘中拉选相应区域，将光标定位至0000；右键-->编辑-->粘贴板数据-->写入。将01fe，01ff填写为55AA，到这里一定保存。

（3）点击黄色区域的图标并转移至63号扇区菜单“视图”-->模板管理（Alt+F12）-->NTFS引导扇区。

稍微向下滚动一点，看到那个粉色框标识出的55AA了嘛？往前找到黄色框内的部分，显示为3F 00 00 00，将其进行反向排列，变为 00 00 00 3F于是3F(十六进制)=63(十进制)——我们称这个数为相对偏移量。
接下来跳转至63778050+63=63778113扇区，我们又发现了一个EB开头的扇区，

再次选择菜单“视图”-->模板管理（Alt+F12）-->主引导记录NTFS引导扇区。打开如下图，同样记录一下黄色方框中的数值（63和92518271）

（5）跳转至0扇区。菜单“视图”-->模板管理（Alt+F12）-->主引导记录，

至于为什么是这些数据，下节会提到。填写完之后万万别忘了保存哦～

（6）好了，在设备管理器里禁用损坏硬盘再启用。再从磁盘管理里看看结果，嗯，一切复原~

打开看看，数据都在

过程看上去有些复杂，其实熟练的话可以控制在5分钟之内，所以它并不难～下面就看看我做了些什么，以及那些数据是怎么来的，做什么用的。

3. 我做了什么？实在只有3步
上面所做的其实就是修复了硬盘的MBR（主引导分区记录），为什么MBR对于硬盘如此重要呢？看过我前面文章的朋友应该知道分区表就是硬盘的名单：作为一个名单当然不是姓名的简单堆砌，名单也是有分类的，比如哪些人是管理员，哪些人是学生等等～请先看一下刚才修复好的硬盘的MBR全图 (注意其中用亮蓝色、黄色、绿色将512字节的分区表分为了三个部分）

上文的（3）（4）两步正是我在计算参数所在的位置，而一旦我定位准确，就调用对应的模板去查看参数，随后在（5）里填写参数（别忘了NTFS+1的问题）
   至于第一行活动分区：80表示可以从这个分区启动，00表示不从这个分区启动（这个参数决定电脑能否从该分区引导，和446字节不同，如果没有那个446字节，硬盘都无法识别了）。一般装有系统的主分区需要填写80，其他的00即可。而硬盘参数这一栏：Fat32的代码是0B，NTFS是07，扩展分区是0F～～这些边边角角都很简单，这里就不多说了～至此，分区表修复工作大功告成～～

4. 小结
   恢复原理：硬盘上的文件是链式的，可以顺藤摸瓜。此外，硬盘损坏的往往是MBR，后面各分区的虚拟MBR都完好无损，可以通过计算后面各分区的参数，逆向推出MBR的参数，从而实现硬盘的修复。
   大致步骤：填写446字节引导文件-->填写64字节分区参数-->55AA结束标志-->别忘保存
   所需参数：活动分区与否（80）；分区类型参数（0B, 07, 0F等）；各扇区大小——共计8个参数，其他参数不知道如何填写就留空。
   所需时间：非常熟练的话，5分钟。
   风险：因为只是对MBR这512个字节进行操作，所以即使失败，大不了重来，对硬盘上其他数据没有任何损害。建议将这512字节另存为一个文件，以后遇到MBR损坏的事件只要把备份COPY回去就是了～