巧用WinHex软件恢复数据

黄军华 管明科 江西信息应用职业技术学院

1 引言

随着电子产品普及挨家挨户都有电子产品。电子品给人类带来非常方便如手机支付和手机拍照等，于是电子产品存储数据量越来越大。电子产品没有故障时没有感觉到数据的重要性，当电子产品出现故障时突然感觉数据非常重要，就会想各种方法或者请专业人事来尽最大的能力去挽救自己所需要的数据。专业人事说这个数据恢复相当简单直接在网下下载一些通用软件扫描一下，就可以恢复数据。这种方法也有一定效果但是有时往往扫描出来数据不完整或者没有目录等原因，这样数据对用户来说没有达到用户所需要的效果。

2 MBR扇区的结束标志破坏

1）案例基本情况描述

一块西部数据（WD10EZEX） 1000GB的硬盘，从2012年开始使用，用了大概7年时间，某一天突然启动计算机想考这个硬盘里面的数据，在我的电脑里面发现找不到相应的分区。本以为是硬盘使用年数比较多以这问题也很正常，可里面数据非常重要。本想用硬盘扫描工具来扫描一下硬盘是否有坏道，结果手上没有找到扫描硬盘坏道工具。还是先通过计算机管理器来查看是否检测到硬盘，打开计算机管理器中的磁盘管理然后发现故障“磁盘0”上显示信息与正常“磁盘01”上显示信息有差别。并且弹出“磁盘初始化和转换向导”要求使用者进行硬盘初始化才能使用。

2）分区丢失的原因分析

从图2.1上面的图片显示信息，磁盘管理中的显现的现象来看，“硬盘0”是一个“没有初始化”的硬盘，从这一点信息可以确定该硬盘的MBR结构一定是有问题。用WinHex软件打开这个块硬盘，仔细检查硬盘上的引导程、硬盘分区表和硬盘结束标志结果发现MBR扇区中的结束标志果然是被修改成为“1111”内容。如下力所示：

图 2.2

3）恢复思路及方法

从图2.2的分析发现，MBR中的引导程序、分区表的内容基本上是正常，只有最后二个字节的内容全部改成“11 11”。也就是说只要把结束标志最后二个字节的内容“11 11”改成“55 AA”之后，MBR的0扇区内容才正常。系统才能检测到MBR的0扇区的有效性。只要MBR的0扇区是正常的才能让硬盘0上的所有分区显示出来。这样的话硬盘上的所有的数据就恢复正常。

图 2.3

3 小结

这块西部数据（WD10EZEX） 1000GB的硬盘一般人会认为硬盘使用时间比较长坏也很正常。如果不是里面数据重要的话可能会直接以为自然熏坏，报报废处理。如果硬盘里面数据重要那就会想办法来挽救里面的数据，这块硬盘正好碰上。上面故障一般就会按照弹出来的向导对硬盘进行格式化，然后再通过易学易用的“RStudio”软件来扫描硬盘里面的数据，当然这个有可能找回一部分数据或全部数据，即使扫描出来的数据都没有完整目录，用户也分不清楚这个数据结构。恢复出来的数据还要进一步整理。西部数据1000GB硬盘还好不是很大，用数据恢复软件扫描时间还好不是很长，如果硬盘比较大用数据恢复软件扫描时间非常长，比较耗时间。这种被人为或病毒修改MBR参数建议还是用WinHex软件来做恢复时间比较快，并且数据完整性比较好不像用数据恢复软件扫描出来的数据那么混乱。用户看到和以前一样目录结构非常满意。在数据恢复过程中分析故障和维修思路非常重要，如果思路不当可能要走很多弯弯曲曲路，但数据还不一定能恢复回来。如果选择适应方法数据很快可以恢复回来，并且恢复的数据与源数据一致达到事半功倍的效果。