winhex软件的使用

《winhex软件的使用》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、Winhex软件的使用第四章数据恢复,编辑,软件,读者掌握一款功能强大的底层磁盘分析与编辑软件对于学习和从事数据恢复无疑是必不可少的，目前应用最为广泛的应该非Winhex莫属。由于Winhex软件的功能很多，为此我们专门使用一个章节对其进行介绍。由于Winhex中的很多功能对应于分区与文件系统的知识，所以在没有进入分区与文件系统的章节之前我们只介绍软件的基本功能，涉及到分区与文件系统的特定功能将在讲解分区与文件系统时进行同步介绍。另外，本书毕竟不是专门的Winhex功能说明读本，所以不可能做到面面俱到。如果读者想对其进行更为深入的学

2、习和研究，不妨在网站上搜索一下网友“困惑的浪漫”所作的Winhex教程，该教程应该算是目前较为全面和深入的Winhex教程。收藏分享200支持反对北京专业数据恢复与数据恢复高级培训电话：010-8253993013269000988北京西数数据恢复提供专项技术解决方案全国免费电话:4006-355-11913501016950北京军达成-PC3000中国总代理-ACE认证数据恢复培训-承接高难度数据恢复客服：010-82888788技术总监：13341136118北京专业数据恢复与数据恢复高级培训电话：010-8253993

3、013269000988北京西数数据恢复提供专项技术解决方案全国免费电话:4006-355-11913501016950北京军达成-PC3000中国总代理-ACE认证数据恢复培训-承接高难度数据恢复客服：010-82888788技术总监：13341136118回复引用报告使用道具TOP#intohard4发表于2011-1-508:46

4、只看该作者4.3软件使用4.3.1启动软件以Winhex15.1为例，第一次运行程序，程序会给出一个设置窗(如图5所示)，有两个可选项：Administrator*Writeprotectionb

5、ydefault：设置写保护，即只可以对打开的对象进行查看，不可以进行修改；*Computerforensicsinterface：如果要使用取证界面，则应该勾选项。我们是要使用底层分析及数据恢复功能，所以不需要在这个设置窗中进行任何设置，直接点击OK按钮即可，这样运行的程序默认允许对打开的对象进行读写操作。图4.5程序运行后的界面如图4.6所示。现在还只是一个空的程序主界面，可以在这个界面中选择所需的各种功能。图4.64.3.2打开对象要对一个对象进行底层分析，首先要将其打开。下面我们以打开一个磁盘后的界面来介绍一下Winhex的

6、十六进制编辑窗口。在Winhex主界面中打开一个磁盘可以有三种方式：1．点击工具栏中的按钮。2．按键盘上的F9键。3．点击菜单Tools→OpenDisk，如图4.7所示。图4.7无论使用哪用方法，都会弹出磁盘选择框，如图4.8所示。图4.8在磁盘选择框中，磁盘以两种形式分组，上面的一组是“逻辑磁盘”，下面的一组是“物理”磁盘。我们可以简单地理解“逻辑磁盘”就是我们在“我的电脑”界面中看到的一个个的分区，它们存在于物理磁盘中。打开逻辑磁盘和打开物理磁盘的区别在于：*打开逻辑磁盘时Winhex使用该分区内的文件系统参数遍历整个分区，可

7、以从文件系统层解释分区内的数据；*打开物理磁盘时，Winhex不以任何文件系统为基础，只是简单地将整个磁盘的内容以十六进制的形式展现在我们面前。由于我们目前尚未接触到文件系统知识，所以在此我们不对此进行详细的介绍，在后面学习到文件系统的知识后自然会理解。图4.9可以帮助大家理解一下物理磁盘和逻辑磁盘的关系。图4.94.3.4界面布局现在我们打开物理磁盘中的HD0，并以它为例对打开后的界面进行介绍。请看图4.10。图4.101．菜单栏菜单栏集合了程序提供的所有功能入口。2．案件数据主要用于取证，可以将一个磁盘装入到案件数据框中查看数据

8、、进行取证记录等。这个功能在数据恢复中并不常用，可以通过勾选菜单栏中的View→Show→CaseData选项控制它的显示与否。如图4.11所示。图4.113．目录浏览器根据打开磁盘方式的不同，目录浏览器内显示的内容会有所不同：*打开物理磁盘时，如果有可识别的分区，目录浏览器中会显示各个分区的类型、大小及起始扇区等信息。*打开逻辑磁盘时，如果有可识别的文件系统，目录浏览器中会显示逻辑磁盘中的数据内容，显示效果与在“我的电脑”中打开一个分区后看到的内容相同。是否显示目录浏览器可以通过View→Show→DirectoryBrowser

9、控制。4．数据解释器数据解释器是一个浮动窗口，可以在屏幕窗口中任意拖拽到任何位置。是否显示数据解释器由View→Show→DataInterpreter控制。当鼠标指针位于十六进制区或文本字符区时，数据解释器可以很方便地将鼠标指针当前