业内新闻

WinHex 快照文件在哪？——一个工程师的现场还原

“客户说用 WinHex 做了一半磁盘快照，软件崩溃后找不到文件了。” 这是上周接到的一个求助。说实话，我自己也遇到过类似情况：辛辛苦苦扫了六个小时，突然断电，重启后 WinHex 的“快照”按钮亮了，但就是找不到之前那份 .whx 文件。今天咱们就从头捋一捋，winhex 快照文件在哪 这个问题，到底该怎么破。技王数据恢复

先别急着翻目录。在数据恢复这行，我习惯先问自己三个问题：技王数据恢复

快照是什么时候创建的？ 去年？昨天？还是软件自动保存的临时快照？
创建快照时，用户有没有手动指定过路径？ 很多人点“创建快照”之后直接默认确定，但默认路径因人而异。
WinHex 的版本——有些旧版会把快照塞到程序目录下的 Snapshots 文件夹，新版默认却变成了文档里的“WinHex Snapshots”。

好，那咱们从最常见的几个位置说起。注意，这里说的“快照文件”通常指 .whx（WinHex 原生快照格式），也可能是 .snp 后缀（早期版本兼容），但核心逻辑一样。 www.fixhdd.cn

第一站：程序安装目录下的 Snapshots 文件夹

不少教程说“WinHex 快照文件默认保存在安装目录”，这句话对，但不全对。我拆过十几个不同版本的 WinHex（从 16.x 到 20.x），它们的默认行为其实分两派：

www.fixhdd.cn

一部分版本（比如 18.0 之前的）确实会在安装目录自动创建 Snapshots 子文件夹，快照直接扔进去。
另一部分版本（尤其是后来被 X-Ways 收购后的）会往 C:\Users\你的用户名\Documents\WinHex Snapshots 写，类似 Windows 应用的文档惯例。

怎么快速验证？ 打开 WinHex 的菜单 工具 → 设置 → 快照，看一下“默认保存路径”那一栏。如果那个路径是空的或者显示“自动”，说明它用的是注册表里的默认值。但大多数时候，这个地方显示的是用户上一次手动保存的位置——如果你从来没改过，它就显示程序最近一次写入的路径。

www.fixhdd.cn

说到这，我想插一句我们 技王数据恢复 的一个实操经验：遇到客户说快照丢了，我们通常先打开 WinHex，点“文件 → 打开”，然后在文件类型里选“All files (*.*)”，接着浏览 C:\Users\当前用户\Documents\WinHex Snapshots 和 C:\Program Files\WinHex\Snapshots，用 Everything 搜索 .whx 和 .snp。这个步骤 90% 能定位到。

www.fixhdd.cn

第二站：临时文件夹（%TEMP%）里的“隐形”快照

有一次，我帮一个客户恢复 RAID 0 的阵列，他建了快照后软件闪退，但没点保存。这种情况下，WinHex 可能把快照碎片写到了系统临时目录。虽然正常情况 WinHex 要求用户主动保存，但某些版本在生成大型快照时会先写一个临时文件，等全部完成后再重命名成正式文件名。

www.fixhdd.cn

查找方法： www.fixhdd.cn

按 Win + R 输入 %temp% 回车。
在临时文件夹里寻找文件名包含 whx、snap 或 tmp 的大文件（注意按修改时间排序）。
如果找到类似 ~WHD* 或 XW_* 开头的文件，直接重命名成 .whx 再试试能不能用 WinHex 打开。

但说实话，这种临时文件能找回的概率不高，一是容易被系统清理，二是文件可能不完整。真正重要的快照，还是得靠用户自己手动指定路径保存。

第三站：注册表里的“记忆”

如果以上位置都没有，还有一个偏门渠道：WinHex 会把一次保存快照的路径写进注册表。位置在 HKEY_CURRENT_USER\Software\X-Ways\WinHex\Settings 里，键名叫 SnapshotPath。打开注册表编辑器（regedit），直接搜索 SnapshotPath，就能看到字符串值，比如 D:\Data\Image.whx。这个值至少能告诉你用户是在哪个文件夹操作的——即使文件已经不存在了，你也能知道它曾经在哪。

当然，这个前提是注册表没有被清理过。，如果用的是绿色版 WinHex（免安装），注册表路径可能变成 .ini 文件，存放在程序同目录下的 WinHex.ini 里，搜一下 snap 就能找到。

一个容易被忽略的细节：快照文件会不会自己消失？

会。比如你做了快照，又用 WinHex 写入了镜像，然后点了“删除快照”……那文件就真的没了。还有一种情况：快照文件和源盘放在同一个物理分区，当你对这个分区继续写入数据时，文件系统的日志会覆盖快照的目录项，导致文件名都看不到了。这时候就得靠文件恢复工具来找了——但我们 技王数据恢复 一般优先用 R-Studio 或 DMDE 扫描扇区，因为 .whx 文件头部有固定签名 FF FE 00 00 之类的特征（实际上是 UTF-16 LE 的 BOM，配合 WinHex 自己的魔数）。

那如果快照真的找不到了，怎么办？

说实话，快照丢失不等于数据恢复失败。我遇到过好几次：客户说“我三个月前做过快照，硬盘坏了，快照在移动硬盘里，但移动硬盘也坏了”。这时候快照文件丢失，我们仍然可以用 WinHex 重新扫描原始硬盘——只时间成本翻倍。但如果你手里还有一份之前的快照备份，哪怕只是部分碎片，也能大幅减少重建工作量。

想避免以后找不到 winhex 快照文件在哪，我建议养成三个习惯：

每次创建快照时，手动指定一个独立的大容量存储路径（比如一个专门的分区或外接硬盘），不要用默认。
快照文件命名包含时间戳，比如 WD500GB_2025-03_confidential.whx，方便区分。
定期用 Everything 搜索 .whx 并复制备份——毕竟数据恢复这东西，谁也不知道意外哪天来。

回到开头那个案例，我们是怎么找到的？客户回忆说是“在 D 盘根目录直接创建的快照”，但 D 盘后来被他格式化为了 NTFS。我们扫描了 D 盘整个分区，找到了一堆 $MFT 残留的记录，其中一个 16GB 的文件名带有 .whx 扩展名，而且头部的签名匹配。提取出来后用 WinHex 打开，成功还原了虚拟磁盘的后续操作。你看，即使文件被“删除”了，只要扇区没被完全覆盖，快照文件依然有可能被唤醒。

写完这些，你应该能理解为什么我的回答有时候会“跳跃”——因为数据恢复不像数学公式，而像刑侦。每个案例的入口都不一样，但最终都会回到同一个核心问题：winhex 快照文件在哪。答案不只是一个路径，而是一系列排查逻辑。希望今天这个现场还原，能让你下次遇到类似问题时，心里至少有个清单。