WinHex恢复被删除磁盘分区 - 资深工程师实战笔记_业内新闻

从分区消失到数据重生：WinHex恢复被删除磁盘分区全实录

您是否遇到过这样的场景：磁盘分区突然消失，数据似乎无影无踪？某个下午，客户抱来一块2TB移动硬盘，插上电脑后盘符全空，磁盘管理里显示“未分配”。他几乎崩溃。我接过硬盘，心想：分区表被删了，但数据大概率还在。这时我掏出WinHex，开始手工winhex恢复被删除磁盘分区的操作。别急，下面我把这一套思路掰开揉碎讲给你。技王数据恢复

先判断，再动手——分区丢失的几种可能性

分区消失不一定是物理损坏。最常见的是：

www.fixhdd.cn

MBR/GPT被误写或清零：比如重装系统时选错了盘，或者分区软件崩溃。
分区表项被删除：用DiskPart clean过，或者第三方工具误操作。
病毒或恶意程序：某些勒索病毒会破坏分区表，但数据没加密。
逻辑坏道导致分区表区域失效：这种情况比较棘手，需要先做镜像。

我遇到过最奇葩的一次，是用户用某国产工具箱“快速分区”后，所有分区变成Raw，数据区完好。用WinHex扫描0扇区，发现MBR还在，只是分区类型字节被改成了0x00。改回去就认盘了。别慌，先别急着格式化。

www.fixhdd.cn

核心工具：WinHex十六进制编辑器

为什么要用WinHex？因为它能直接读写磁盘的二进制数据，分区表、引导扇区、文件系统元数据全都在里边。很多商业分区恢复软件也是基于相同原理，但WinHex给你全部控制权，而且不需要花钱（免费版就能看512字节扇区，付费版才能保存修改）。对于winhex恢复被删除磁盘分区这种操作，你至少需要能编辑并保存扇区。

www.fixhdd.cn

准备工作

将待恢复磁盘连接到另一台电脑（避免启动干扰）。
以管理员身份运行WinHex。
从Tools → Open Disk打开物理磁盘（注意别选错盘！）。
最好先创建磁盘镜像（File → Create Disk Image），尤其是对坏道盘。万一写错了还能重来。

一个小经验：如果磁盘是GPT格式，分区表在LBA 1号扇区（保护MBR）和LBA 2–34的GPT Header及分区表项；MBR盘就简单了，分区表在0扇区偏移0x1BE开始，共64字节。我们主要处理这两种情况。技王数据恢复

实战案例：MBR分区表被清空

某天接手一块500GB机械硬盘，客户说用DiskGenius重建MBR后反而分区全没了。我打开WinHex一看，0扇区确实有经典的0x55AA结束标记，但分区表四个表项全是0。这说明MBR本身还活着，只是表被抹了。于是我判断：原分区数据还在，只要找到每个分区的起始扇区就能重建。怎么找？技王数据恢复

先跳转到0扇区，把0x1BE～0x1FD区域清零的部分用红色标记（方便对比）。
然后开始搜索“文件系统特征”：比如NTFS的引导扇区开头是EB 52 90 4E 54 46 53（对应“NTFS”），FAT32的EB 58 90或EB 3C 90。在WinHex按 Ctrl+F → 16进制值 → 输入 EB 52 90（NTFS）或 EB 58 90 (FAT32)。
第一次搜到结果在LBA 2048（即1MB偏移），这通常是第一个分区起始。记下扇区号。
继续搜下一个NTFS/VBR。第二个分区一般在LBA 2050之后？不一定，要分区大小决定。你用搜索→偏移量递增找下一个。
找到所有分区的起始扇区后，就可以手动填写分区表了。例如第一个分区类型NTFS是0x07，起始CHS可以填0xFEFF（现代系统不管），起始LBA填2048，分区大小LBA = 结束扇区 - 起始扇区 + 1。结束扇区在哪？在VBR附近找EFI分区或卷尾，最简单的办法是直接通过文件系统计算：NTFS的$MFT镜像记录里有大小，但更粗暴的方法是填一个估算值，然后保存重启看是否识别，不识别再调。

这里我要提一句，处理这种精细活，我曾经在客户面前演示，结果不小心把类型字节填成了0x06（FAT16），导致盘符出现但打不开。后来改成0x07才搞定，尴尬但涨经验。修改前一定要备份原扇区。有一次我在技王数据恢复的远程协助中看到同行用类似方法救回一个企业ERP数据库，瞬间觉得这技术很值钱。

技王数据恢复

GPT分区表丢失的恢复技巧

GPT盘更复杂，但原理一样：GPT Header在LBA 1，分区表项从LBA 2开始一般占32KB（64个表项，每个128字节）。如果GPT Header损坏，WinHex会提示“无效磁盘”，但数据区还在。恢复步骤： www.fixhdd.cn

先找到LBA 0的保护MBR，确认分区类型是0xEE（GPT）。
然后手动构建LBA 1的GPT Header。需要填充磁盘GUID、分区表起始LBA（通常LBA 2）、分区表项数量（比如128）、每个表项大小（128字节）、CRC32校验和。这个CRC比较麻烦，建议用WinHex自带的工具：选中分区表区域 → 右键 → Compute CRC32，然后填入Header相应位置。
如果不自信，可以搜索“EFI PART”字符串（在LBA 1的偏移0~7），找到了直接复制一个备份的GPT Header进来（如果有备份）。
另一种取巧：用DiskGenius的“搜索已丢失分区（重建MBR）”功能，但既然我们讲WinHex，就坚持手工。实际上，很多情况下GPT Header失效但分区表项还在LBA 2~33，只要重新生成Header即可。有一次我修复一块4TB视频素材盘，GPT Header被格式化命令清零了，我通过搜索LBA 2的“C12A7328-F81F-11D2-BA4B-00A0C93EC93B”（EFI系统分区GUID）找到表项，然后手动重建Header，只花了几分钟。

注意事项与失败防范

千万不要向待恢复磁盘写入任何新数据！连系统挂载都要小心，Windows会自动写入卷标之类。
winhex恢复被删除磁盘分区，首选只读方式分析。如果必须保存修改，先创建完整镜像，在镜像上操作。
填写分区表时，起始LBA和大小LBA的字节序是小端（低位在前）。例如LBA=2048，十六进制是00 08 00 00，但写入时要按逆序：00 08 00 00？不，是00 00 08 00？注意：WinHex里输入时，四个字节顺序是低字节到高字节，即 00 08 00 00 实际上是0x00000800=2048？不对，小端表示法：对于双字0x00000800，存储为00 08 00 00。检查一下：第一个字节是最低有效位。2048（十）=0x800，即00 00 08 00？我常搞混，一般用WinHex的“同步”功能：在位置1BE开始，用鼠标右键→ Edit → 选择“分区表模板”，它会帮你计算。
修改后如果系统仍不认盘，检查0扇区结尾是否有55 AA。没有的话补上。