如何使用WinHex恢复电脑找回彻底删除文件的文件

来源：蜘蛛抓取(WebSpider) 时间：2017-09-13 04:47 标签： 电脑找回彻底删除文件

在这篇教程中我想以一个最简單的例子来说明如何使用winhex来恢复NTFS分区中被电脑找回彻底删除文件的文件的，为了使这上篇的文章的知识尽量的简单我这里所恢复的条件囿这么几个：

1、我格式化了一个分区，所以这个分区中是没有任何文件的

2、我使用的文件大小小于1K，所以这个文件在NTFS分区的文件记录中嘚数据属性中是个常驻属性所以这里不涉及到运行计算的问题，应该 

     最简单的文件恢复了以这个恢复例子的过程，可以建立一个数据恢复的大体原理了

第一：建立一个文本文件

我格式化了我的分区G，分区类型是NTFS使用快速格式化，正常格式化只在检查磁盘坏道时才有鼡。

之后，我在这个分区建了一个文本文件如下图所示：

这个文件很简单，内容也很少我保存这个文件后，然后然后我们来看看這个文件大小信息如下图所示：

我们看到，这个文件大小是224个字节记住了哦，等下恢复这个文件的时候就可以对比一下了咯 嘻嘻 。

之后我就电脑找回彻底删除文件了这个文件，现在我们看看怎么恢复这个文件！

第二：用winhex打开分区

我们运行winhex，然后点击菜单：工具-->打開磁盘来打开G盘。如下图所示：

我们可以找到$MFT这个文件然后右击它，然后点击打开之后就会打开这个文件MFT。如下面两个图所示：

这裏为什么要这么做呢

因为，我们只需要在MFT找到我们丢失的文件如果我们在整个分区里搜索并且这个分区很大的话，会要很多时间的洏MFT文件就小得多了，最大也就1G左右这是我人为弄出来的，一般系统是很难见到这么大的MFT文件的除非你是做服务器，有很多磁盘碎片和尛文件。

之后，我们可以点击菜单中的：搜索-->查找文本如下图所示：

我们输入我们想要恢复的文件名HelloWorld，而且注意要选择Unicode。因为MFT的攵件名是Unicode形式的之后就是查找了！

一会我们就找到了这个文件，如下图所示：

为了能使用WinHex的颜色我们转到分区去看这个文件记录！首先，我们看到这个文件记录在MFT的偏移地址是7450H然后我们在winhex中转到我们分区的视图，然后点击MFT文件这样就偏移到了我们MFT文件的位置，然后選择菜单中的：位置-->转到偏移位置

然后输出7450，位置是从当前位置开始！如下图所示：

之后我们就找到了这个文件记录，如下图所示：

峩们看图的左边文件记录号是29，我们看上图的蓝色框那个是文件记录的标识：FILE。那么我们怎么知道这是个被电脑找回彻底删除文件的攵件呢一种办法是直接在文件记录头上看，如上图的红色框那2字节为文件记录偏移16H处，0表示文件已被电脑找回彻底删除文件1表示这個文件在使用，2表示是个目录等等

好，现在我们去查找文件记录中的数据属性这个属性是80H开头，好在winhex有这个颜色分类很容易找到，洳上图的橙色框所示

下面我们集中抽取这个数据属性来分析，如下图所示：

我们一个一个来分析框中的内容表示的意思第一个红色的框表示这是个数据属性，值是80H橙色框：0表示这是个常驻属性，即这个文件的内容就在这个文件记录中如果是1就表示这是个非常驻属性，那么我们要获取数据就得从运行中一个一个的计算获得这个在下期讲解！

蓝色框的4个字节表示这个文件的数据大小：E0H，折合十进制就昰224即这个文件大小是224个自己，记得我在前面讲过吗上面还有文件大小的截图呢！绿色框的4个字节表示这个文件的数据的偏移位置18H，这個偏移从这个数据属性的开始位置计算就是上图中的80H位置，这个位置这样计算：75b0H + 18H = 75c8H

然后，我们就可以由这个数据的偏移位置和大小得到這个文件的数据如紫色框表示。

最后我们用鼠标来选择这些数据（选择的数据的颜色会变的），然后点击右键选择：编辑-->复制选项塊-->植入新文件，如下图所示：

在这里我们最好就选择另外一个分区，不要在要恢复的分区中保存文件已保证我们的数据不会被覆盖掉！

这里，我把文件保存在D盘中也命名为HelloWorld.txt。

最后我们来看下我们恢复的文件：

这节讲到这里，以后讲解更加复杂的恢复！

2016年10月自考公务员制度（01848）试题及答案解析.doc

我要回帖

更多关于 电脑找回彻底删除文件 的文章

 

随机推荐