如何用winhex恢復數(shù)據(jù)?很多用戶，刪除數(shù)據(jù)的時候，不小心刪除了一些有用的文件，怎么辦呢?其實，數(shù)據(jù)刪除后咱們可以利用有關(guān)的數(shù)據(jù)恢復工具來恢復，小編就來介紹一下winhex數(shù)據(jù)恢復軟件是如何恢復刪除的數(shù)據(jù)的。

　　winhex恢復數(shù)據(jù)教程

　　1、打開磁盤

　　2、直接恢復文件

　　如果文件是不久前刪除的話，可以看到已經(jīng)刪除的文件，這時便可以直接恢復文件了。

　　3、通過$MFT恢復文件

　　如果在文件列表里沒有看到已刪除的文件，那么可以從$MFT里恢復。

　　$MFT，主文件表(Master File Table)，存在于是NTFS文件系統(tǒng)里。當文件在硬盤上刪除后，文件記錄并沒有從$MFT里刪除，因此可以從$MFT里恢復已刪文件。

　　1)打開$MFT

　　右鍵點擊“$MFT”，然后點擊“打開”。

　　2)查找要恢復的文件

　　按組合鍵CTRL+F彈出窗口，輸入要恢復的文件名或關(guān)鍵詞，選擇“Unicode”。

　　3)找到要恢復的文件記錄

　　找到要恢復的文件記錄，接著是進行數(shù)據(jù)分析，這是恢復過程中最關(guān)鍵的一步。分析如下：

　　紅色圈出的FILE0，是文件頭的開始標識。偏移文件頭16H的位置，即藍色圈出的00，00表示該文件已經(jīng)被刪除。

　　紅色圈出的80，是數(shù)據(jù)屬性的標識。在偏移8H的位置，如果是01，即藍色圈出的地方(本例是01，如果是00，則接下來的分析要看這里如何使用WinHex恢復刪除的文件(2))，那么要看偏移30H的地方，即藍色圈出的D9 F1 07，這個便是文件的大小，十六進制表示為“7F1D9”。再看偏移40H的地方，即藍色圈出的42 80 00 BC 50 2B 01，42表示后面的數(shù)據(jù)中，前兩個是族數(shù)，這里為80個族，后四個是族號的開始位置，十六進制表示為“12B50BC”。

　　這個分析主要是得到兩個數(shù)據(jù)，族的起始位置和文件大小。

　　4)通過族的起始位置和文件大小來恢復文件

　　切換到磁盤窗口，選中$MFT，然后按組合鍵CTRL+G，輸入族的起始位置19615932(把十六進制12B50BC轉(zhuǎn)換為十進制，百度一下轉(zhuǎn)換工具吧，可以在此網(wǎng)頁里轉(zhuǎn)換http://jinzhi.supfree.net/)。

　　點擊確定后，在鼠標出現(xiàn)的地方，點擊右鍵，然后點擊“選塊起始”。

　　按組合鍵ALT+G，彈出轉(zhuǎn)到偏移量的窗口，這里選擇相對于“當前位置”，然后輸入7F1D9(第三步分析中得到的文件大小，十六進制)。

　　點擊確定后，在鼠標出現(xiàn)的地方，點擊右鍵，然后點擊“選塊結(jié)束”。

　　選塊結(jié)束

　　選塊結(jié)束后，在鼠標出現(xiàn)的地方，點擊右鍵，然后點擊“編輯”。

　　點擊編輯后，然后點擊“復制選塊-至新文件”，在彈出窗口里，輸入文件名，即可恢復文件。