WinHex恢复之前分区：从表丢失到数据重生的真实复盘
上周一个朋友火急火燎联系我，说他的移动硬盘插上后变成了“未初始化”，里面几百G的工作文件全没了。他说之前用DiskGenius快速分区过，后来又用第三方工具调整分区大小，结果重启后分区全消失。我一听就大概知道——分区表被覆盖或损坏了。这种场景下，winhex恢复之前分区是最直接有效的办法。今天就用这个案例从头到尾讲一遍我的处理过程，中间穿插一些失败的尝试和经验教训。 www.fixhdd.cn
第一步：判断故障类型——别急着上手写数据
拿到硬盘，先不连电脑——我用USB硬盘底座接到一台干净的机器上，打开WinHex，选“Tools → Open Disk”。发现整个磁盘显示为“未分区”状态（MBR区域全是0，GPT头也找不到）。这种情况基本排除物理坏道，大概率是分区表逻辑数据被破坏了。注意，这时绝对不能做格式化或新建分区，否则原始分区数据可能被覆盖。 www.fixhdd.cn
曾经有个客户自己用“快速分区”试了两次，结果把原来分区的起始扇区全改了，找我时已经没法恢复。记住：发现分区丢失，立刻断电，用只读工具分析。
技王数据恢复
关键点：备份磁盘镜像
在WinHex里，我习惯先给整个磁盘做个镜像（File → Create Disk Image）。虽然麻烦，但这是后悔药。镜像可以放到另一块空闲盘上，后续所有操作都在镜像上进行。这个步骤大概花了40分钟（1TB硬盘），期间我顺便检查了0号扇区的MBR——确实全是0，说明分区表被清空了。 技王数据恢复
第二步：尝试搜索分区边界——WinHex的“恢复之前分区”核心方法
接下来就是正题了——winhex恢复之前分区的关键：利用文件系统的特征找到每一个分区的起始和结束扇区。我常用的方法有两种： www.fixhdd.cn
- 方法A：手动搜索DBR（DOS Boot Record）的签名“EB 52 90”或“EB 58 90”。 对于NTFS分区，DBR一般在分区的第一个扇区，尾部有“55 AA”结束标志。在WinHex中按Ctrl+F，选“Hex Values”，输入“EB 52 90”，从0扇区开始搜索。每找到一个，记录扇区号，然后跳转到该扇区，看偏移0x0B处的BPB信息（Bytes per Sector、Sectors per Cluster等），可以估算分区大小。
- 方法B：搜索“FAT32”或“NTFS”的特定标识。 对于FAT32，DBR的签名是“EB 58 90”；而GPT分区的起始扇区有“EFI PART”签名。根据客户硬盘之前是MBR还是GPT来定——我这次是MBR盘，重点搜索NTFS的DBR。
其实有个更快的思路：如果记得之前每个分区的近似大小，可以直接用WinHex的“Go To Sector”功能跳到理想位置，然后查看那个扇区是不是一个有效的DBR。经验告诉我，大多数NTFS分区起始扇区是2048、4096、1024等对齐值。我这次按2048步进跳转，果然在扇区2048找到了第一个DBR，接着2048+（分区大小扇区数）在扇区976773168找到了第二个DBR（这个数字是估算的，实际通过分区大小反推）。
www.fixhdd.cn
注意：在winhex恢复之前分区时，搜索到的DBR不一定百分之百对应原来的分区。比如快速格式化过的分区DBR可能被重写，但内容依然可以识别。我一般会把所有找到的DBR起始扇区列出来，然后对比它们之间的间隙，确保分区之间没有重叠或遗漏。 www.fixhdd.cn
真实案例中的小插曲
这个硬盘原本有三个分区：一个100GB的系统备份分区（NTFS）、一个400GB的数据分区（NTFS）、一个剩余约500GB的娱乐分区（NTFS）。我搜到第一个DBR在2048，第二个在扇区209715200左右（100GB*2^20/512=209715200扇区），第三个在扇区1048576000左右（400GB对应的扇区数加上前一个）。但实际搜索时第三个DBR一直找不到——后来发现客户之前把第三个分区格式化成exFAT了，DBR签名不同（exFAT的引导扇区签名是“EB 76 90”）。改用“EB 76 90”搜索，一下子就找到了。 www.fixhdd.cn
这里要提醒：不要只认一种文件系统类型。我在搜索时，会搜索多个签名：EB 52 90（NTFS）、EB 58 90（FAT32）、EB 76 90（exFAT），甚至00 00 00 00（空扇区）来辅助判断分区边界。
第三步：重建分区表——手动写入或利用WinHex脚本
找到所有分区的起始和结束扇区后，下一步就是重建分区表。对于MBR盘，需要修改0号扇区的分区表项（共64字节，每16字节一个分区）。我直接在WinHex中定位到偏移0x1BE处，依次写入每个分区的起始CHS（如果不用CHS可以填0）、分区类型ID（07=NTFS/HPFS，0B=FAT32，07也可用于exFAT？实际上exFAT的分区类型ID是07，但有些系统也认0B，稳妥点用07）、结束CHS、起始LBA（四字节）、分区大小（四字节）。
注意：LBA地址和大小都是小端序（Little-Endian）。比如第二个分区起始扇区是209715200，转换为十六进制是0C800000，在WinHex中写入时是“00 00 80 0C”（从低字节到高字节）。容易搞反？我一般用WinHex的“分区编辑器”模板（Tools → Disk Editor → Partition Table），直接填写十进制数值，它会自动转换。但这里有个坑：如果分区跨越了1024柱面，CHS值需要填为FE FF FF（表示LBA模式）。我习惯所有分区都采用LBA模式，CHS直接填0和FE FF FF。
之前帮一个客户恢复时，因为误把分区大小的字节序写反了，导致系统只识别出一半的空间。后来用“技王数据恢复”内部开发的校验脚本才检查出来。写完后一定要用WinHex的“Verify Partition Table”功能或者手动计算总扇区数是否匹配。
对于GPT盘的处理
如果硬盘是GPT分区表（检测到保护MBR且0号扇区末尾有“55 AA”，但GPT头在扇区1损坏），则需要重建GPT头（扇区1）和分区表项（扇区2~33）。方法类似，但更复杂。我这次是MBR盘，也遇到过GPT丢失的情况——后来直接用winhex恢复之前分区的“搜索GPT头”功能（搜索“EFI PART”），找到后复制到扇区1，再根据分区条目修正大小。
第四步：保存并验证——别高兴太早
修改完分区表后，保存对磁盘的更改（注意：如果是镜像文件，直接保存；如果是物理盘，确保没有其他程序占用）。然后弹出磁盘，重新插拔（或者用Windows磁盘管理右键“重新扫描磁盘”）。理论上应该能看到分区出现了，但有时会提示“需要格式化”或“参数错误”。
- 如果是“需要格式化”：说明分区表指向的起始扇区可能是错误的，或者该扇区并不是真正的DBR。回头检查一下DBR是否合法，或者是不是存在偏移（比如有些分区工具会把DBR放在第63扇区而非2048）。
- 如果是“参数错误”：大概率是分区大小填多了或填少了，导致文件系统无法正确识别边界。可以用WinHex打开分区（Tools → Open Disk，然后选择该分区卷），查看根目录能否列出——如果能列出几个文件但无法全部读取，可能是MFT或目录结构损坏。
这次我运气不错，重建后三个分区都正常显示，数据全部可读。客户当场拷走了数据，我顺便把镜像保留了两周以备后续。
几点额外注意（踩坑总结）
1. 关于备份
无论多急，一定要先做镜像。我见过最惨的案例：工程师直接用物理盘恢复，结果误操作写入错误的数据，导致原始分区彻底无法恢复。镜像文件可以用WinHex的“Copy Sector”功能快速生成。如果硬盘有坏道，建议用“Generic”模式跳过坏扇区。
2. 分区类型ID的选择
对于NTFS，Windows系统只认0x07。对于FAT32，可以是0x0B或0x0C（LBA模式）。但exFAT在Windows中通常也使用0x07（与NTFS相同），如果存在NTFS和exFAT，分区类型ID都是07，系统如何区分？实际上分区类型ID只是一个标识，真正的文件系统类型由DBR决定。只要DBR正确，即使分区类型ID写成07，exFAT也能正常识别。但为了清晰，建议对exFAT使用0x07（有些工具自动识别），或者用第三方工具手动调整为0x07。
3. 柱面对齐与性能
现代硬盘推荐对齐到2048扇区（1MB），否则性能下降。如果你的原始分区并不是对齐的（比如老系统下的63扇区对齐），那么在恢复时应该保持原样，不要强行改为2048对齐，否则文件系统会偏移整个扇区，导致数据混乱。我这次的分区起始都是2048，没问题。
4. 遇到动态磁盘怎么办？
如果硬盘是动态磁盘（LDM），情况更复杂。但基本思路类似：搜索LDM数据库（在磁盘末尾），然后解析逻辑盘信息。建议使用专业工具，比如技王数据恢复的工程师工具包，能自动解析并重建。手工处理的话，需要对动态磁盘结构非常熟悉。
总结：核心技术就是“找边界+重写表”
通过这个案例可以看出来，winhex恢复之前分区本质上不是什么黑科技，而是对分区结构和文件系统引导记录的扎实理解。只要找到所有原始分区的起始扇区（通过DBR签名或其他特征），然后正确的写回到分区表，数据就能回来。当然，实际操作中会遇到各种变体：比如分区被快速格式化、分区表被覆盖了一部分、或者文件系统本身损坏（如MFT缺失）。但大多数分区丢失的情况，用WinHex手动搜索都能解决。
强调一点：winhex恢复之前分区的成功率依赖于你对磁盘数据的精确分析，多练习几次，把常见文件系统的BPB参数背下来（比如NTFS的$MFT位置、FAT32的FSInfo扇区等），就能像老司机一样快速判断。如果遇到实在无法恢复的极端情况，也别硬撑——该找专业机构就找，比如我朋友那台机器后来还是送到了技王数据恢复处理，因为他们有硬件读写工具和更完善的算法（当然这是极个别案例）。
本文由一位经常熬夜恢复数据的工程师撰写，内容基于真实操作，仅供参考。数据无价，操作前请三思。
