巧用WinHex軟件恢復數據

黃軍華 管明科 江西信息應用職業技術學院

1 引言

隨著電子產品普及挨家挨戶都有電子產品。電子品給人類帶來非常方便如手機支付和手機拍照等，于是電子產品存儲數據量越來越大。電子產品沒有故障時沒有感覺到數據的重要性，當電子產品出現故障時突然感覺數據非常重要，就會想各種方法或者請專業人事來盡最大的能力去挽救自己所需要的數據。專業人事說這個數據恢復相當簡單直接在網下下載一些通用軟件掃描一下，就可以恢復數據。這種方法也有一定效果但是有時往往掃描出來數據不完整或者沒有目錄等原因，這樣數據對用戶來說沒有達到用戶所需要的效果。

2 MBR扇區的結束標志破壞

1）案例基本情況描述

一塊西部數據（WD10EZEX） 1000GB的硬盤，從2012年開始使用，用了大概7年時間，某一天突然啟動計算機想考這個硬盤里面的數據，在我的電腦里面發現找不到相應的分區。本以為是硬盤使用年數比較多以這問題也很正常，可里面數據非常重要。本想用硬盤掃描工具來掃描一下硬盤是否有壞道，結果手上沒有找到掃描硬盤壞道工具。還是先通過計算機管理器來查看是否檢測到硬盤，打開計算機管理器中的磁盤管理然后發現故障“磁盤0”上顯示信息與正常“磁盤01”上顯示信息有差別。并且彈出“磁盤初始化和轉換向導”要求使用者進行硬盤初始化才能使用。

2）分區丟失的原因分析

從圖2.1上面的圖片顯示信息，磁盤管理中的顯現的現象來看，“硬盤0”是一個“沒有初始化”的硬盤，從這一點信息可以確定該硬盤的MBR結構一定是有問題。用WinHex軟件打開這個塊硬盤，仔細檢查硬盤上的引導程、硬盤分區表和硬盤結束標志結果發現MBR扇區中的結束標志果然是被修改成為“1111”內容。如下力所示：

圖 2.2

3）恢復思路及方法

從圖2.2的分析發現，MBR中的引導程序、分區表的內容基本上是正常，只有最后二個字節的內容全部改成“11 11”。也就是說只要把結束標志最后二個字節的內容“11 11”改成“55 AA”之后，MBR的0扇區內容才正常。系統才能檢測到MBR的0扇區的有效性。只要MBR的0扇區是正常的才能讓硬盤0上的所有分區顯示出來。這樣的話硬盤上的所有的數據就恢復正常。

圖 2.3

3 小結

這塊西部數據（WD10EZEX） 1000GB的硬盤一般人會認為硬盤使用時間比較長壞也很正常。如果不是里面數據重要的話可能會直接以為自然熏壞，報報廢處理。如果硬盤里面數據重要那就會想辦法來挽救里面的數據，這塊硬盤正好碰上。上面故障一般就會按照彈出來的向導對硬盤進行格式化，然后再通過易學易用的“RStudio”軟件來掃描硬盤里面的數據，當然這個有可能找回一部分數據或全部數據，即使掃描出來的數據都沒有完整目錄，用戶也分不清楚這個數據結構。恢復出來的數據還要進一步整理。西部數據1000GB硬盤還好不是很大，用數據恢復軟件掃描時間還好不是很長，如果硬盤比較大用數據恢復軟件掃描時間非常長，比較耗時間。這種被人為或病毒修改MBR參數建議還是用WinHex軟件來做恢復時間比較快，并且數據完整性比較好不像用數據恢復軟件掃描出來的數據那么混亂。用戶看到和以前一樣目錄結構非常滿意。在數據恢復過程中分析故障和維修思路非常重要，如果思路不當可能要走很多彎彎曲曲路，但數據還不一定能恢復回來。如果選擇適應方法數據很快可以恢復回來，并且恢復的數據與源數據一致達到事半功倍的效果。