如果您在Windows PE环境下需要对硬盘或分区执行底层数据编辑或恢复操作，则WinHex作为一款专业的十六进制编辑器，可直接读取物理驱动器和原始扇区。以下是具体操作步骤：
一、加载WinHex到PE环境
WinHex本身不自带于标准PE系统，需预先集成至PE镜像或通过外置介质调用。其运行依赖于完整的Windows API子集及VC++运行库支持，在PE中需确保已注入必要的DLL依赖。
1、将WinHex安装目录下的WinHex.exe及其配套文件（如WinHex.chm、WinHex.dll）复制至PE的%SystemDrive%ToolsWinHex路径下。
2、在PE启动后，以管理员权限运行命令提示符，执行cd /d %SystemDrive%ToolsWinHex后输入WinHex.exe启动程序。
3、若提示缺少msvcp140.dll或vcruntime140.dll，需将对应Visual C++ 2015–2022 Redistributable的x86版DLL文件放入WinHex同目录。
二、以只读模式打开物理磁盘
为防止误写导致数据覆写，首次访问磁盘设备时应强制启用只读模式。WinHex支持直接挂载\.PhysicalDriveX设备对象，绕过文件系统层，实现扇区级访问。
1、启动WinHex后，点击菜单栏【Tools】→【Open Disk…】。
2、在弹出窗口中选择【Local Machine】→【Physical Media】，勾选Read only mode选项。
3、从列表中选取目标磁盘（例如PhysicalDrive0），点击【OK】加载。此时界面显示首扇区（LBA 0）的512字节原始数据。
三、定位并编辑特定扇区
WinHex提供多种定位方式，包括绝对扇区号跳转、文件系统结构导航及关键词搜索。编辑前必须确认目标位置无关键元数据重叠，避免破坏NTFS $MFT或FAT32 FAT表等结构。
1、按F5键调出【Go to Sector/Offset】对话框，输入十进制或十六进制扇区地址（如输入2048跳转至LBA 2048）。
2、点击【OK】后光标定位至该扇区起始位置，右侧ASCII窗格同步显示可读字符，左侧十六进制窗格允许逐字节修改。
3、如需批量填充，选中目标字节区域后右键选择【Edit】→【Fill Block…】，输入填充值（如00表示清零）并确认。
四、从已删除文件残留中恢复数据
当文件被删除但簇未被覆盖时，WinHex可通过扫描文件签名（File Signatures）识别潜在有效数据块。此方法适用于JPEG、PDF、DOCX等具有固定头部格式的文件类型。
1、点击菜单【Search】→【Find Hex Values…】，输入目标文件头十六进制序列（如JPEG为FF D8 FF，PDF为25 50 44 46）。
2、设置搜索范围为【Entire disk】，勾选Search in unallocated clusters only以提升效率。
3、双击搜索结果列表中的匹配项，WinHex自动跳转至对应扇区；右键该位置选择【File】→【Export…】，将连续数据块另存为独立文件。
五、重建MBR或DBR引导记录
主引导记录（MBR）位于LBA 0，分区引导记录（DBR）位于各分区首扇区。WinHex可直接写入修复后的引导代码，但操作前必须备份原始扇区。
1、打开目标物理磁盘后，按F5跳转至LBA 0，全选512字节内容，点击【File】→【Copy Block】→【To New File】保存为mbr_backup.bin。
2、获取正确MBR模板（如Windows标准MBR），用WinHex打开该模板文件，全选内容后复制。
3、切换回物理磁盘视图，按F5跳转至LBA 0，粘贴替换全部512字节，点击工具栏Save All Modified Sectors按钮完成写入。
评论(0)