人啊 ，有时候真的很可笑，先不说者个了，我之前已经写过关于如何使用WinHex软件做数据恢复的操作步骤，（破解版本的软件可以修改文件的内容）。但是并没有将这个工具很详细的介绍一遍，很多操作也没有给出比较清晰的思路。所以今天准备花时间把关于Winhex数据恢复的知识详细的重新整理归档一遍，便于后面的学习。做完这篇数据使用WinHex数据恢复的整理之后，我会抽空将我之前关于 Kali linux tools的应用做一个详细的总结（估计要花大概一个月时间），
数据恢复包括软恢复和硬盘恢复，我们这里只讨论软恢复（使用WinHex软件恢复数据）：另外雨荷的数据恢复我也较多的文献资料（已经百度云上共享过，可以直接搜索）
关于硬盘的知识请自行查找，这里不再做介绍。目前主流的数据恢复软件有 R-Studio 和 Handy-Recovery 、都叫兽（操作简单）、美亚的很多产品。
MBR -----主引导记录，位于整个硬盘的0柱面0磁道1扇区，总共占用63个扇区，但是实际上只是用了一个扇区（512字节）。在这512个字节的主引导记录中，MBR可以分为三个部分，第一部分是引导代码，一共占用了446个字节，第二部分是分区表，占64字节，第三部分是55AA，结束标志，占了两个字节，
引导代码的作用： 让硬盘具备引导的功能，如果引导代码丢失，那么这个硬盘作为从盘所有分区的数据还在，只是这个硬盘不能启动，恢复引导代码使用 命令 fdisk（Linux）或者 disk part（window）
如果是分区表丢失，这个磁盘就会丢失分区，
EBR也叫作扩展分区，主引导记录最多只能描述四个分区项，如果想要在一个硬盘上分区多余4个， 就要使用EBR。，主引导取修复的时候使用 disk part （disk等相关的命令 自行百度），在关于disk的U盘存储我0现象也可以使用该命令重新对U盘找回（之前博客详细写过）
每一个分区由 DBR、 FAT1 、FAT2、 DIR、、DATA组成（Win7开始NTFS）
WinHex 软件偶强大的分区管理功能，和文件管理功能，能够自动分析分区链和文件簇链。对硬盘进行备份和克隆，最主要的是能够编辑任何一种文件的二进制内容（使用十六进制），其磁盘编辑器可以便捷物理磁盘的任意扇区，是手工恢复数据的必备工具，
|
字节位置
|
内容及含义
|
|
第1字节
|
引导标志。若值为80H表示活动分区；若值为00H表示非活动分区。
|
|
第2、3、4字节
|
本分区的起始磁头号、扇区号、柱面号
|
|
第5字节
|
分区类型符：
00H——表示该分区未用
06H——FAT16基本分区
0BH——FAT32基本分区
05H——扩展分区
07H——NTFS分区
0FH——（LBA模式）扩展分区
83H—— Linux分区
|
|
第6、7、8字节
|
本分区的结束磁头号、扇区号、柱面号
|
|
第9、10、11、12字节
|
本分区之前已用了的扇区数
|
|
第13、14、15、16字节
|
本分区的总扇区数
|
下图是截取的一个扇区的部分（分区表），分区表从第447个字节开始标记 ,可以看到第447个字节 是80，表示 引导标志。若值为80H表示活动分区；若值为00H表示非活动分区。那么按照上面的表个显示 448、449、450字节分别是起始 磁头号、扇区号、柱面号分别对应的是 00、01、6F。在看451字节 是07表示BTFS分区格式。451、452、453表示分区的结束磁头号、扇区号、和柱面号、。需要注意的是WinHex编辑区十六进制的数值是以Little Endian的方式排列并组织数据类型，这种类型的数据高位在后，低位在前，所以在提取数值要计算的时候要反过来（WinHex上显示已使用扇区数 比方 FE FF FF要反过来计算，就是 FFFFFE）
在windows系统中自带了很多小工具 ，使用 fsutil 工具可以对文件系统进行简单的查询（具体的使用大家可以对应关键命令 进一步测试）
关于硬盘型号和Model型号的相关知识可以参考马林著作的《重生-----Windows数据恢复极限剖析》链接: https://pan.baidu.com/s/1Vs2RdhgB3TIiA2BqK9le0g 提取码: 87ki
下面具体的使用WinHex恢复一个在电脑上已经删除的文件，为了说明原理这里我只用 txt格式的文本演示 （已知该文本中存在客户的联系方式，现在不小心删除了，电脑回收站中也删除了，如何找到该问价，在文件名字以忘记的情况下如何恢复，你甚至不知道该文件是存储在哪一个盘符上，但是只要大概知道你的文件内容大致是关于什么的，就可以通过计算找到。在文件名字以忘记的情况下如何恢复，）
示例：
第一步：首先新建一个文件 标记为 q.txt 之后将该文件删除，并在回收站中清理掉。我们开始使用Winhex计算该文件在磁盘中的位置，之后恢复数据。
第二步： 删除文件之q.txt （注意的是如果是在U盘上删除了文件，其实在Winhex上的目录上依然存在，只需要点击恢复即可。所以我们这里只讨论PC上的恢复）
现在将q.txt 问价拷贝到PC端的 D盘符上可以看到改文件确实存在，之后删除后并清理回收站，刷新快照。对应的截图如右面
第三步：查找文件碎片
右键打开文件“$MFT”，选择搜索方式Unicode ，填入关键字或者文件名。这里我们填入关键字 15117262659 搜索
通过查找发现如下：选择块之后进行恢复
