使用 WinHex 手动解析磁盘扇区的具体方法

以下是使用 WinHex 手动解析磁盘扇区的具体方法示例，以恢复一个误删除的文本文件（如 .txt）为例，基于 FAT32文件系统 的解析流程：

1. 准备工作

• 工具：WinHex（需以管理员权限运行）。

• 目标磁盘：假设磁盘为FAT32格式，误删文件位于 D:\ 盘。

• 注意事项：操作前对磁盘创建镜像文件（通过 Tools > Disk Tools > Clone Disk），避免直接操作原盘。

2. 手动解析步骤

步骤1：打开磁盘并定位分区起始扇区

1. 打开WinHex，点击 File > Open Disk，选择目标磁盘（如 Physical Drive D:）。

2. 定位FAT32分区的起始扇区：

   • FAT32分区的引导扇区（通常是分区的第0扇区）：

     • 跳转到扇区 0（快捷键 Ctrl+G，输入 0）。

     • 检查引导扇区签名：结尾应为 55 AA。

     • 关键参数（偏移量）：

       • 每扇区字节数：偏移 0x0B，如 512（十六进制 00 02）。

       • 每簇扇区数：偏移 0x0D，如 8。

       • 保留扇区数：偏移 0x0E，如 32。

       • FAT表数量：偏移 0x10，通常为 2。

       • 每个FAT表大小（扇区）：偏移 0x24，如 0x00001C00（需转换为十进制）。

步骤2：定位根目录起始位置

1. 计算根目录起始扇区：

   复制

   根目录起始扇区 = 保留扇区数 + (FAT表数量 × 每个FAT表大小)

   • 示例：保留扇区=32，FAT表数量=2，每个FAT表大小=0x1C00（十进制7168）：

     复制

     根目录起始扇区 = 32 + (2 × 7168) = 14368

2. 跳转到扇区 14368（Ctrl+G 输入 14368），查看根目录条目。

步骤3：查找被删除的文件条目

1. 根目录条目结构（每个条目32字节）：

   • 文件名：偏移 0x00（8字节），扩展名（3字节）。

   • 属性：偏移 0x0B，0x20 表示普通文件，0x00 表示已删除。

   • 起始簇号：偏移 0x1A（2字节，小端序）。

   • 文件大小：偏移 0x1C（4字节，小端序）。

2. 搜索已删除文件：

   • 在根目录区域（扇区14368开始）逐条查看目录条目。

   • 已删除文件的文件名首字符会被替换为 E5（如原文件名为 test.txt，删除后显示为 E5est.txt）。

   • 找到目标条目后，记录其 起始簇号 和 文件大小。

步骤4：定位文件数据所在的簇

1. 计算数据区起始扇区：

   复制

   数据区起始扇区 = 根目录起始扇区 + (根目录条目数 × 32 / 每扇区字节数)

   • FAT32根目录条目数不固定，但通常根目录占少量扇区，可跳过直接进入数据区。

2. 通过簇号定位文件位置：

   • 起始簇号为 N，则文件数据起始扇区：

     复制

     文件起始扇区 = 数据区起始扇区 + (N - 2) × 每簇扇区数

   • 示例：数据区起始扇区=14368，起始簇=5，每簇扇区=8：

     复制

     文件起始扇区 = 14368 + (5-2) × 8 = 14368 + 24 = 14392

3. 跳转到扇区 14392，查看数据内容。

步骤5：提取文件内容

1. 根据记录的 文件大小，计算占用的扇区数：

   复制

   所需扇区数 = ceil(文件大小 / 每扇区字节数)

2. 选中从起始扇区开始的连续扇区，右键选择 Edit > Copy Block > Into New File，保存为 .txt 文件。

3. 关键技巧

• 搜索文件头/尾签名：

  • 若目录条目损坏，可通过文件内容特征定位（如文本文件开头为可读ASCII码）。

  • 使用 Search > Find Hex Values 搜索文件头（如 .txt 无固定头，但可搜索 54 65 78 74 对应 "Text"）。

• FAT表解析：

  • FAT表位于保留扇区之后（扇区32开始），用于追踪簇的占用情况。

  • 若文件跨多个簇，需根据FAT表条目（每项4字节）跳转到下一个簇。

4. 注意事项

1. 文件覆盖风险：若文件所在簇已被新数据占用，恢复内容可能不完整。

2. 文件系统差异：NTFS解析更复杂（需分析MFT表、属性列表等）。

3. 手动恢复耗时：适合小文件或紧急情况，大文件建议使用专业工具（如R-Studio）。

通过以上步骤，可以手动定位并恢复误删除的文件。此方法适用于学习文件系统原理或无法使用自动化工具的场景。