2016新編winhex數(shù)據(jù)恢復(fù)入門使用教程

《2016新編winhex數(shù)據(jù)恢復(fù)入門使用教程》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫。

1、4.1Winhex簡介Winhex是X-Ways公司出品的一款十六進(jìn)制編輯、磁盤編輯軟件，其公司網(wǎng)站對(duì)其功能介紹如下：*可以對(duì)硬盤、軟盤、CD-ROM、DVD、ZIP及各種存儲(chǔ)卡進(jìn)行編輯*支持FAT、NTFS、Ext2/3、ReiserFS、Reiser4、UFS、CDFS、UDF等文件系統(tǒng)*可支持重組RAID及動(dòng)態(tài)磁盤*附帶數(shù)據(jù)恢復(fù)功能*可以訪問物理內(nèi)存及虛擬內(nèi)存*內(nèi)置數(shù)據(jù)解釋器，可以識(shí)別解釋20種數(shù)據(jù)類型*可以用數(shù)據(jù)結(jié)構(gòu)模板查看、編輯結(jié)構(gòu)數(shù)據(jù)*可以分割與合并文件*可以對(duì)文件進(jìn)行分析與對(duì)比*具有靈活的搜索

2、和替換功能*可以對(duì)磁盤進(jìn)行克隆*可對(duì)磁盤進(jìn)行壓縮鏡像備份，支持對(duì)備份文件進(jìn)行分卷處理*具有編程接口，支持腳本操作*支持256位加密、校驗(yàn)和、CRC32、hash（MD5，SHA-1）計(jì)算*支持對(duì)磁盤進(jìn)行數(shù)據(jù)安全銷毀*包含ANSIASCII,IBMASCII,EBCDIC,Unicode字符集*支持文件大小超過4GB4.2軟件的獲取與安裝讀者可以在網(wǎng)絡(luò)上搜索提供下載Winhex的網(wǎng)站，或直接到其公司網(wǎng)站www.winhex.com下載試用版或購買正版。Winhex的安裝與普通軟件安裝沒有區(qū)別，以在Window

3、sXP下為例，雙擊Setup.exe程序即可開始安裝過程。如圖4.1所示。圖4.1程序默認(rèn)的安裝路徑是C:ProgramFilesWinHex，當(dāng)然也可以自行選擇安裝到其他位置?？梢赃x擇語言種類，不過用以選擇中文的Chinese按鈕處于灰色不可選狀態(tài)，應(yīng)該是尚不支持中文。用戶可以選擇其它語言，默認(rèn)語言是英文。確定安裝位置無誤后，點(diǎn)擊OK按鈕，程序會(huì)彈出一個(gè)詢問框，詢問是否確定將程序安裝到所選位置。如圖4.2所示。圖4.2如果要對(duì)安裝位置重新選擇，可以按“否”按鈕回到原界面進(jìn)行設(shè)置。否則按“是”按鈕繼續(xù)安

4、裝。程序隨即會(huì)彈出詢問框詢問是否要建立快捷方式。如圖4.3所示。點(diǎn)擊按鈕“是”，程序安裝完畢后會(huì)在“開始”→“所有程序”中添加程序啟動(dòng)快捷方式。圖4.3最后，程序提示安裝完畢，詢問是否運(yùn)行程序。如圖4.4所示。圖4.4點(diǎn)擊“是”按鈕，程序即開始運(yùn)行。如果不想立即運(yùn)行程序，可以點(diǎn)擊“否”按鈕，在使用程序時(shí)從開始菜單中啟動(dòng)程序。4.3軟件使用4.3.1啟動(dòng)軟件以Winhex15.1為例，第一次運(yùn)行程序，程序會(huì)給出一個(gè)設(shè)置窗(如圖5所示)，有兩個(gè)可選項(xiàng)：*Writeprotectionbydefault：設(shè)置寫保

5、護(hù)，即只可以對(duì)打開的對(duì)象進(jìn)行查看，不可以進(jìn)行修改；*Computerforensicsinterface：如果要使用取證界面，則應(yīng)該勾選項(xiàng)。我們是要使用底層分析及數(shù)據(jù)恢復(fù)功能，所以不需要在這個(gè)設(shè)置窗中進(jìn)行任何設(shè)置，直接點(diǎn)擊OK按鈕即可，這樣運(yùn)行的程序默認(rèn)允許對(duì)打開的對(duì)象進(jìn)行讀寫操作。圖4.5程序運(yùn)行后的界面如圖4.6所示?，F(xiàn)在還只是一個(gè)空的程序主界面，可以在這個(gè)界面中選擇所需的各種功能。圖4.64.3.2打開對(duì)象要對(duì)一個(gè)對(duì)象進(jìn)行底層分析，首先要將其打開。下面我們以打開一個(gè)磁盤后的界面來介紹一下Winhex的

6、十六進(jìn)制編輯窗口。在Winhex主界面中打開一個(gè)磁盤可以有三種方式：1．點(diǎn)擊工具欄中的按鈕。2．按鍵盤上的F9鍵。3．點(diǎn)擊菜單Tools→OpenDisk，如圖4.7所示。圖4.7無論使用哪用方法，都會(huì)彈出磁盤選擇框，如圖4.8所示。圖4.8在磁盤選擇框中，磁盤以兩種形式分組，上面的一組是“邏輯磁盤”，下面的一組是“物理”磁盤。我們可以簡單地理解“邏輯磁盤”就是我們?cè)凇拔业碾娔X”界面中看到的一個(gè)個(gè)的分區(qū)，它們存在于物理磁盤中。打開邏輯磁盤和打開物理磁盤的區(qū)別在于：*打開邏輯磁盤時(shí)Winhex使用該分區(qū)內(nèi)的文

7、件系統(tǒng)參數(shù)遍歷整個(gè)分區(qū)，可以從文件系統(tǒng)層解釋分區(qū)內(nèi)的數(shù)據(jù)；*打開物理磁盤時(shí)，Winhex不以任何文件系統(tǒng)為基礎(chǔ)，只是簡單地將整個(gè)磁盤的內(nèi)容以十六進(jìn)制的形式展現(xiàn)在我們面前。由于我們目前尚未接觸到文件系統(tǒng)知識(shí)，所以在此我們不對(duì)此進(jìn)行詳細(xì)的介紹，在后面學(xué)習(xí)到文件系統(tǒng)的知識(shí)后自然會(huì)理解。圖4.9可以幫助大家理解一下物理磁盤和邏輯磁盤的關(guān)系。圖4.94.3.4界面布局現(xiàn)在我們打開物理磁盤中的HD0，并以它為例對(duì)打開后的界面進(jìn)行介紹。請(qǐng)看圖4.10。圖4.101．菜單欄菜單欄集合了程序提供的所有功能入口。2．案件數(shù)據(jù)主

8、要用于取證，可以將一個(gè)磁盤裝入到案件數(shù)據(jù)框中查看數(shù)據(jù)、進(jìn)行取證記錄等。這個(gè)功能在數(shù)據(jù)恢復(fù)中并不常用，可以通過勾選菜單欄中的View→Show→CaseData選項(xiàng)控制它的顯示與否。如圖4.11所示。圖4.113．目錄瀏覽器根據(jù)打開磁盤方式的不同，目錄瀏覽器內(nèi)顯示的內(nèi)容會(huì)有所不同：*打開物理磁盤時(shí)，如果有可識(shí)別的分區(qū)，目錄瀏覽器中會(huì)顯示各個(gè)分區(qū)的類型、大小及起始扇區(qū)等信息。*打開邏輯磁盤時(shí)，如果有可識(shí)別的文件系統(tǒng)，