winhex

winhex是一个磁盘编辑器，可以用来检查和修复各种文件、恢复删除文件、硬盘损坏造成的数据丢失等。winhex免费版用于取证搜集、数据恢复、文件分析和编辑、底层数据处理和安全领域收集文件报告。可以解读并保存pos文件信息，支持提取数据。

软件介绍

winhex是一个磁盘编辑器，可以用来检查和修复各种文件、恢复删除文件、硬盘损坏造成的数据丢失等。支持解读另存pos文件，支持提取数据等功能！点击偏移量各项数值自动读取到系统粘贴板 winhex免费版用于取证搜集、数据恢复、文件分析和编辑、底层数据处理和安全领域收集文件报告。可以解读并保存pos文件信息，支持提取数据。检查和修复各种文件、恢复删除文件、硬盘损坏造成的数据丢失等，喜欢的朋友就在牛下载软件园下载使用吧！

winhex功能介绍

字符集: ANSI ASCII, IBM ASCII, EBCDIC, (Unic ode)
连接和分割、以奇数偶数字节或字的方式合并、分解文件
搜索和替换功能尤其灵活
使用模板编辑数据结构 (例如: 修复分区表/引导扇区)
立即窗口切换、打印、生成随机数字
分析和比较文件
广泛的联机帮助
支持对磁盘阵列 RAID 系统和动态磁盘的重组、分析和数据恢复
可导入剪贴板所有格式数据, 包括 ASCII、16 进制数据
驱动器镜像和备份 (可选压缩或分割成 650 MB 的档案)
可分析 RAW 格式原始数据镜像文件中的完整目录结构，支持分段保存的镜像文件
多种数据恢复技术
支持打开大于 4 GB 的文件，非常快速，容易使用。
程序接口 (API) 和脚本
数据擦除功能，可彻底清除存储介质中残留数据
数据解释器, 已知 20 种数据类型
硬盘, 软盘, CDROM 和 DVD, ZIP, Smart Media, Compact Flash, 等磁盘编辑器...
支持 FAT, NTFS, Ext2/3, ReiserFS, Reiser4, UFS, CDFS, UDF 文件系统
6 位 AES 加密, 校验和, CRC32, 哈希算法 (MD5, SHA1, ...)
可进行 2 进制、16 进制 ASCII, Intel 16 进制, 和 Motorola S 转换
磁盘克隆 (可在 DOS 环境下使用 XWays Replica)

winhex软件优势

对于索引编制，不要包含绝对不必要的更多字符和较短或较长的字长。除非绝对必要，否则不要索引子字符串。
CPU频率越高，效果越好。
将映像存储在RAID上而不是磁盘上，以提高传输速率。
如果可能的话，请勿将案例和图像存储在同一磁盘上。
如果可以，请避免在后台使用活动的病毒扫描程序。
当然，高质量的固态硬盘更好。
使用NTFS(而不是FAT)格式化自己的卷。
在许多情况下，应用程序都会使用多个处理器内核：磁盘映像，磁盘克隆，索引，逻辑搜索和卷快照优化(对于v19.8中的后两个，最多16个线程，之前最多8个线程)。
避免使用通过USB连接的媒体。
不要永久性和不必要地收集数百万的搜索结果。如果您获得的搜索命中次数过多，且搜索词不确定，请删除不需要的搜索命中空间，以释放内存。
不要使用NTFS加密(EFS)或NTFS压缩。
请勿使用通过XWays Forensics以外的工具创建的压缩.e01证据文件(避免进行常规压缩或强压缩)。
如果可能，请勿将临时文件和映像存储在同一磁盘上。
使用较大的群集大小(例如16 KB或更大)来容纳图像。
使用速度更快的磁盘，具有更高的数据传输速率和更快的访问速度。
使用64位Windows版本。如果是32位版本，请使用/ 3GB开关运行Windows。

winhex使用教程

1、打开磁盘
菜单：工具-打开磁盘；

2、界面
上方是文件夹和文件情况；下边是打开磁盘的16进制数值；

3、找下MBR的结束标志
按前文所述，MBR占1个扇区，512字节，结束标志是55AA。可从中直接打开计算器，10进制的512转换为16进制是200；
找到偏移00000200，例如以下图，每一个扇区结束有一个横线标志；偏移从00000000開始，那么第二个扇区的起始偏移是00000200；看下下图，Offset列值为000001F0所相应行的最后2个字节。为55 AA，正是MBR的结束标志。这样就找到了MBR所在区域；

4、分区表位于结束标志之前的64个字节；每行16字节，4*16=64；

分区表第一字节是引导标志。若值为80H表示活动分区；

winhex官方更新日志

可以选取报告表中某几列到容器报名中。(查看容器属性)
针对UFS在线提供不同的模板。
现在可以间接填充证据文件内容。
几个其它局部改进和错误修正
XWays Forensics现在可以在内部重新汇编硬件RAID5系统到级别0，并且支持奇偶校验。
如果一个RAID系统添加到一个容器作为证据对象，当名称或位置改变时现在可以很容易替换RAID系统的一部分。
更进一步改进文件路径太长的兼容性。
修正12.7版本自动检测物理磁盘RAW映象为单独的分区映象。
现在可以在容器根层递归探索证据对象概况，在基于动态填充设置上，可以在一个方便的平面视图中列出所有子目录中的所有文件。
一些在RAM编辑器中被隐藏的进程现在能够列出。