winhex与磁盘格式与 数据恢复
第一阶段：
熟悉WinHex的使用。
n 熟悉磁盘工具的使用。
n 利用WinHex查看物理磁盘和逻辑磁盘。
n 了解WinHex中相关工具的用法。
以管理员身份运行winhex（以便之后修改）
上方工具栏，工具，打开磁盘，可以按逻辑盘和物理盘来打开磁盘。
位置可以按扇区，偏移，FAT表跳转。
右键单击分区，点击template可以查看一些信息。
第二阶段：
分析本地硬盘的主引导扇区
利用
n 主引导扇区由哪些部分组成？
n 四个主分区项的内容各代表什么？
n 分析主扩展分区表的结构。
n 通过分区项来确定每个本地逻辑盘的位置以及大小，并画出本地硬盘的逻辑结构。
n 每个本地盘的开始扇区位置，总扇区数，结束扇区位置，各扩展分区表扇区位置，保留空间数量。
下图为实验室虚拟机的磁盘。
下图为主引导扇区，主分区表
从1B行E列开始为分区信息。
第一个分区：80 01 01 00 07 FE FF FF 3F 00 00 00 00 00 80 02
80代表为主分区，07表示为NTFS格式。00 00 00 3f H为起始扇区。（因为有一个扇区为主引导扇区，且有62个扇区保留，固从3fH即63号扇区开始）。02800000H是扇区数，一扇区512字节，计算后为20.0GB
类似的，0b表示为FAT32格式，0f表示扩展分区。
0000003fH + 02800000H即为0280003fH，是下个分区的起始扇区号，与图中显示一致。
第二个分区：00 FE FF FF 07 FE FF FF 3F 00 80 02 00 00 40 01
起始扇区 0280003FH，与上面的计算一致。 大小01400000H，为第一个分区的一半，10G。
第三个分区类似，大小为C00000H个扇区，6G，起始扇区03C0003FH。
值得注意的是第4个分区，大小为02FFEFC0H，计算为50327488个扇区，23.998016357421875GB，不是恰好24GB。起始位置0480003FH。
打开第四个分区，可见分区表。
有G盘，H盘的信息。
G盘大小01400000H个扇区，10GB，起始位置0000003FH。这里的起始位置是相对于主分区表中0480003FH的偏移。
H盘大小01BFEF81H，29335905个扇区，13.99844GB，起始位置0140003FH。
第三阶段：
熟悉FAT32文件格式。
n 用WinHex打开某个FAT32分区格式的逻辑盘。
n 查看该逻辑盘的起始扇区，分析起始扇区中的相关字段（BPB:BIOS Parameter Block）。
n 查看FAT1和FAT2的内容和大小。
n 查看该逻辑盘的根目录区。
n 查看某个文件的目录项结构和FAT链以及具体存储位置。
n 在根目录下建立文本文件test.txt，其中填充60K左右的文本字符保存。
n 查看该文件的目录项，对其进行分析，并得到该文件所在位置以及大小。
n 查看首簇位置，并得到簇链表。通过簇链表查看该文件内容。
n 记录首簇位置（14H-15H,1AH-1BH）和文件大小（1CH-1FH）。
这里F盘就是FAT32格式的盘。00行，BC列0200H代表一个扇区512字节，D行20H代表一簇32扇区。于是一簇16kb。
F盘6GB，计算6*1024*1024/16得簇数，一簇在FAT表中占4字节，故计算得FAT表大小应为1.5M，事实上查看下图，确实为1.5M，计算正确。
以上信息也可以在Disk中右键template查看。
在F盘建立txt文件，test.txt，大小为57kb。
右键test.txt，go to directory entry可以查看目录项。
八位00H-07H文件正名，08H-0AH三位扩展名，14H-15H为起始簇号高16位。1AH-1BH为起始簇号低十六位。1CH-1FH为文件字节长度。这里0000E219H，为57881字节。起始簇号000003C9H，为969号。
然后点击FAT32，右键go to FAT entry，输入969，可以转到test.txt的簇链表。如下图。
注意簇号从零开始，四字节一个簇号。然后每个位置的内容指向下一簇。最后一簇内容为0FFFFFFFH。
第四阶段：
手工恢复被删除的文件
n 删除前面所建立的文件test.txt。(del&shift+del)
n 利用WinHex在该文件所在盘符查找test.txt文件的目录项。
n 查看目录项的变化。
n 利用该残余目录项来计算被删除的文件所在的位置。
n 手工恢复该文件（文件名、首簇高位、簇链表修复）。
Shift+delete彻底删除。
删除后查看目录项变化。
可见第一个字节变为E5。同时首簇号高位清零。（这里原本就是0，固待会恢复时无需再改）
看一下簇链表，发现被清空。
然后开始恢复。
E5改为54（T）。然后修复簇链表。
由于文件大小57kb，固分配四簇。
到000003C9H处，根据上文，填上CA 03 00 00...
第四簇填0FFFFFFF。
恢复完毕，这时打开F盘可以查看test.txt。
磁盘结构分析
（1）磁盘结构图
（2）磁盘结构分析重要过程、数据及分析结果
Winhex打开物理磁盘。查看start sectors
LBA0即为设备的第0个逻辑存储块。
由LBA0可知格式为0xEE，为GPT分区表。
LBA1
02 00 00 00 00 00 00 00表示分区表项从LBA2开始。0x250行0-3列，80 00 00 00 表示共128个分区。4-7列，80 00 00 00表示每个分区表项大小128字节。
LBA2
8A800H为分区3（C盘，系统盘）起始扇区，结束扇区为C88A7FFH，计算得共99.999999523162841796875GB。
还有分区名。
类似的有F盘，分区6，起始扇区5788E800H,结束扇区74511FFFH，共482883583扇区，230.256835460662841796875GB。
其余扇区类似，不再赘述。
打开C盘观察DBR。
可知文件系统ID为NTFS，每扇区占用字节数为0200H,512字节。每簇扇区数08H，故每簇4kb。
在hard disk 右键template也可查看相关信息。
0x30开始8字节为MFT起始簇号。C0000H为786432。 786432*8 = 6291456扇区(字节偏移为 6291456*512= 3221225472 （ 十六进制0xC0000000）)。
Go to sector 转到 MFT表
MFT表一项1kb，固下一项偏移为1024/16=40H。
再看F盘。与C盘类似。
FAT32分区数据恢复
在虚拟机格式为FAT32的H盘进行操作。
（1）FAT32逻辑磁盘基本信息描述
在H盘新建了2017301510029.txt，大小103kb。
FAT32数据恢复过程
Shift+delete删除
打开winhex。
查看到每扇区512字节，一簇8扇区。即4kb。
用winhex查看目录项
修改首字节，首簇高位。
E5改为32（2），高位仍为00 00（这里是推测原来就是0000而不是不改）
得首簇号0000000AH。转到FAT表，第10簇。
103kb为26簇。
恢复簇链表。
恢复成功。
