Winhex как редактировать файл
Обновлено: 21.11.2024
Когда вы теряете данные на жестком диске, редактор секторов позволяет просматривать данные почти везде на диске. Вот как вы можете использовать WinHex для восстановления данных в любом месте на жестком диске.
У Кота Феликса был целый набор волшебных трюков, которые выручали его из затруднительных ситуаций. У всех хороших специалистов службы поддержки есть свой волшебный набор приемов, но обычно он содержит различные программные утилиты, которые помогают им решать сложные технические проблемы. Одной из самых удобных утилит, которые могут быть у специалиста службы поддержки, является редактор секторов. С помощью редактора правого сектора специалист службы поддержки может восстановить данные или даже прочитать области диска, содержащие удаленные или поврежденные данные. WinHex — это удобный редактор секторов, который прекрасно впишется в ваш набор хитростей.
Что такое WinHex и сколько это будет стоить?
WinHex, созданный X-Ways Software Technology AG из Германии, представляет собой мощное приложение, которое можно использовать в качестве расширенного шестнадцатеричного редактора, инструмента для анализа, редактирования и восстановления данных, инструмента для очистки данных и судебной экспертизы. инструмент, используемый для сбора доказательств. В число клиентов, использующих WinHex, входят Национальная лаборатория Ок-Риджа, Hewlett Packard, National Semiconductor, несколько правоохранительных органов и многие другие компании, нуждающиеся в восстановлении и защите данных.
WinHex, совместимый с Windows 95 и Windows XP, предлагает следующие возможности:
Криминалистические функции (для которых требуется лицензия Specialist) включают следующие возможности:
- Освободите свободное место.
- Поиск текста по ключевым словам.
- Создавайте таблицы содержимого диска с разделителями табуляции. Эти таблицы можно импортировать в электронную таблицу, например Microsoft Excel, и отсортировать.
Лицензии стоят 44 доллара США (частная, 25 долларов США за дополнительную лицензию), 84 доллара (профессиональная, 48 долларов США за дополнительную лицензию) и 126 долларов США (специалист, 67 долларов США за дополнительную лицензию), что делает это приложение выгодным приобретением для предлагаемых функций.
Загрузка и установка
Если вы хотите попробовать WinHex, загрузите ознакомительную версию Winhex.zip. Эта версия работает по большей части, но функции Professional и Specialist отключены. После загрузки Winhex.zip разархивируйте содержимое во временный каталог на рабочей станции администратора.
Запустите программу установки и выберите папку и язык для установки. WinHex поставляется на английском, немецком, французском, испанском, итальянском и португальском языках. (Последний выпуск — версия 10.75.) Программа установки WinHex работает так же, как и любой другой мастер установки Windows, который вы когда-либо использовали. Просто следуйте инструкциям на экране, и вы не ошибетесь.
WinHex не хранит информацию о конфигурации в реестре или файлы конфигурации в папках ОС Windows, что делает его переносимым и помогает уменьшить размер реестра.
Чтобы пользователи Windows 9x и Me могли напрямую обращаться к секторам компакт-диска, должен присутствовать файл Windows wnaspi32.dll. Файл обычно устанавливается вместе с Windows. Если это не так, вы можете найти его на установочном компакт-диске Windows.
Для редактирования секторов жесткого диска в Windows NT, 2000 или XP вам потребуются права администратора.
Использование WinHex
На самом базовом уровне WinHex представляет собой шестнадцатеричный редактор. То есть, как и большинство шестнадцатеричных редакторов, он отображает три столбца: адрес, 16-байтовый шестнадцатеричный дисплей и 16-символьный текстовый дисплей.
Просмотрщик данных можно настроить в широких пределах. Например, щелкая стрелки вверх, вниз, вправо и влево на панели инструментов, вы можете добавлять строки, удалять строки, добавлять столбцы и удалять столбцы из отображения данных. Вы можете просмотреть только шестнадцатеричный формат, только текст или и то, и другое, установив флажки в меню «Вид». Общие параметры позволяют установить цвета и шрифт, а щелчок по столбцу «Смещение» позволяет переключаться между десятичными и шестнадцатеричными значениями адреса.
Сеансы WinHex начинаются с Центра запуска, показанного на рисунке A, где вы можете открывать файлы, диски, ОЗУ и ранее отредактированные файлы, которые можно выбрать из списка. WinHex запоминает последнюю позицию редактирования предыдущих файлов и состояние последнего сеанса и позволяет вам открыть весь предыдущий сеанс, щелкнув «Продолжить последний сеанс» в окне «Проекты» Центра запуска. Вы также можете открывать проекты и запускать скрипты (редактор скриптов включен в версиях Professional и Specialist).
| Рисунок A | |||||
| Начните сеанс WinHex в Start Center. |
| Рисунок B |
| В строке состояния отображается основная статистика по редактируемым данным. |
Редактирование дисков и других носителей
При использовании WinHex в качестве редактора дисков вы можете получить доступ к носителям через операционную систему (логически) или через BIOS (физически). Логический доступ позволяет просматривать диск по кластерам. Вы можете просматривать файловую систему и получать доступ к загрузочным секторам разделов и таблицам размещения файлов. С профессиональной лицензией вы также можете просматривать свободное и свободное пространство.
При физическом доступе к диску часто можно редактировать диск, к которому операционная система не может получить доступ по какой-либо причине. Также можно просматривать, редактировать и создавать резервные копии таблиц разделов и загрузочных секторов основной загрузочной записи (MBR).
Откройте Редактор дисков, выбрав Редактор дисков в меню Инструменты. Появится окно Edit Disk, показанное на рис. D, и вы сможете выбрать, какой диск, логический или физический, вы хотите отредактировать. Теперь диск открыт в режиме редактирования. Изменения не вносятся на месте, а только когда вы выбираете Сохранить.
| Рисунок D |
| Используйте Disk Editor для логического или физического доступа к диску. |
Чтобы восстановить диск с помощью WinHex, важно знать разницу между просмотром данных диска, отображаемых логически, и просмотром данных диска, отображаемых физически.
Когда вы открываете диск C: с помощью логического доступа, то, что отображается как адрес 00 диска, на самом деле является первым байтом загрузочного сектора этого раздела, а не первым байтом диска. . Снова обратившись к рисунку D, вы можете видеть, что логический доступ к моему диску предлагает два варианта: C:\ и D:\ (жесткий диск этой машины разделен на C:, отформатированный в FAT32, и D:, отформатированный в NTFS), в то время как физический access предлагает только один вариант: Hard Disk One.
Выбор Hard Disk One считывает весь диск. Здесь смещение 00 действительно означает фактическое физическое начало жесткого диска, головка 0, цилиндр 0, сектор 1, где хранятся код начальной загрузки и таблицы разделов для диска. В физическом представлении диск C: фактически начинается со смещения 7E00h. Для сравнения, на рис. E показаны первые 16 байтов диска C:\ с логическим доступом (1), первые 16 байтов жесткого диска с физическим доступом (2) и первые 16 байтов раздела C: с физическим доступом (3).< /p>
| Рисунок E |
| Эти три отображения данных демонстрируют разницу в адресации и доступе к данным при логическом и физическом доступе к диск. |
Что означает это обсуждение логического и физического доступа? Чтобы создать резервную копию и восстановить MBR с ее загрузочным кодом и таблицами разделов диска, получите физический доступ к диску (предпочтительно с другого диска, на котором установлен WinHex). Если вы хотите сделать резервную копию и восстановить только загрузочный сектор вашего раздела, логический доступ к диску будет немного проще.
Дополнительные параметры доступа к диску
Когда вы открываете диск, справа от дисплея появляется кнопка «Доступ». При нажатии кнопки «Доступ» открывается ряд параметров в зависимости от типа открытого носителя.
Например, поскольку C:\ является разделом FAT32 в моей системе, нажатие кнопки "Доступ" позволяет мне перейти к загрузочному сектору, FAT 1, FAT 2, обозревателю каталогов, корневому каталогу, свободным кластерам, избыточным секторам и т. д. , как показано на рисунке F. В разделе NTFS я смогу получить доступ к записям таблицы основного файла.
| Рисунок F |
| Эти параметры доступны при логическом доступе к диску. |
Если бы я открыл C:\ физически, выбор Access предложил бы мне доступ к любому разделу диска, просмотру таблицы разделов и загрузочного сектора, клонированию раздела и созданию резервной копии, как показано на рисунке G.
| Рисунок G |
| Параметры работы с дисками отличаются для физического доступа. Используйте нужный инструмент. |
На рисунке F обратите внимание на два варианта доступа: шаблон загрузочного сектора и шаблон корневого каталога. Шаблоны — это удобный способ просмотра и редактирования этих областей диска. На рисунке H показан результат выбора шаблона загрузочного сектора. Вы также можете напрямую изменять информацию в шестнадцатеричном формате.
| Рисунок H |
| Шаблоны упрощают работу с необработанными данными. |
Для просмотра диска доступны другие шаблоны. Выберите Вид | Менеджер шаблонов, чтобы увидеть список. Кроме того, пользователям WinHex доступны и другие шаблоны. Например, существуют шаблоны для чтения форматов файлов базы данных Zip disk и Palm.
Резервное копирование и восстановление MBR, таблиц разделов и загрузочных секторов.
Для загрузки машины жесткий диск должен содержать действительную MBR, таблицу разделов с именем хотя бы одного активного раздела и действительный загрузочный сектор на этом разделе (который также будет содержать загрузчик операционной системы). Чтобы любой раздел диска был виден операционной системе, он должен быть указан в таблице разделов MBR и иметь допустимый загрузочный сектор.
MBR состоит из первых 512 байтов информации (512 байтов на сектор) жесткого диска в секторе 1. Первые 446 байтов информации содержат фактический загрузочный код. Следующие 64 байта — это таблица разделов — четыре записи по 16 байт, а последние два байта содержат подпись, определяющую конец всех загрузочных секторов: 55h AAh.
Резервное копирование и восстановление загрузочного сектора основного раздела немного безопаснее, чем работа с MBR, и это полезный способ демонстрации возможностей WinHex.
Загрузочный сектор содержится в первых 512 байтах каждого раздела. В каждом случае сектор заканчивается шестнадцатеричным кодом подписи 55h AAh. WinHex упрощает ручное резервное копирование и восстановление этих важных байтов кода. Эту информацию также можно редактировать вручную напрямую или с помощью шаблона.
Чтобы создать резервную копию загрузочного сектора раздела, щелкните Доступ | Загрузочный сектор. В меню выберите Редактировать | Копировать сектор | В новый файл. Вас попросят указать имя файла. Выберите имя, такое как bootcopy.dat (dat — это тип файла WinHex), и сохраните. Откроется новое окно со скопированным сектором.
Имейте в виду, что если вы сохраните этот файл на том же диске или в том же разделе, который вы просматриваете, вы изменили данные в этом разделе. Если вы пытаетесь восстановить стертые данные, некоторые данные могут быть потеряны. Когда вы работаете с жестким диском, который может быть использован в качестве доказательства, никогда не работайте с оригинальной копией. Для этого вы должны клонировать диск. Однако для нашего примера мы продолжим работу с диском ОС.
Вы можете распечатать информацию о шаблоне, чтобы сохранить бумажную копию на тот случай, если вам когда-нибудь понадобится перестроить MBR вручную. В это время просто получите доступ к диску с помощью WinHex и запишите данные в шаблон загрузочного сектора.
Есть несколько способов восстановить загрузочный сектор. Один из способов — открыть резервную копию файла и вставить информацию в область загрузочного сектора.
Еще один способ, не требующий большого количества манипуляций с файлами, — это копирование резервного загрузочного сектора, если он есть, при условии, что он не поврежден вирусом или иным образом, обратно в начало раздел.
В файловой системе FAT32 копия загрузочного сектора хранится в секторе 6, который начинается со смещения C00h. Файловые системы NTFS хранят копию в конце тома. Но вы можете найти резервную копию и без этой информации, выполнив поиск по заголовку загрузочного сектора — кстати, это хороший способ продемонстрировать функцию поиска WinHex.
Загрузочный сектор начинается с команды перехода (EBh) и содержит заголовок в четвертой позиции (смещение 3). Заголовки FAT32 будут читать, например, MSWN4.1.
Скопируйте всю строку из JMP в MSWN4.1, перетащив на нее курсор либо в текстовом столбце, либо в столбце шестнадцатеричного отображения. Строка будет выделена (Рисунок I). В меню выберите Редактировать | Копировать блок | Обычный, чтобы скопировать текстовую строку в буфер обмена, или Правка | Копировать блок | Hex Values, чтобы скопировать шестнадцатеричный код. Выбор за вами.
| Рисунок I | |||||
| WinHex выделяет обрабатываемый блок данных. |
| Рисунок J |
| Вы готовы проверить, нашли ли вы резервный загрузочный сектор. |
На этом этапе вы знаете расположение резервной копии вашего загрузочного сектора, и у вас есть два файла, содержащие точные копии вашего текущего загрузочного сектора.
Теперь потренируйтесь копировать и заменять загрузочный сектор из резервной копии раздела. Предупреждение: это не для слабонервных. Если вы ошибетесь, возможно, вам придется попрактиковаться в замене загрузочного сектора.
Перейдите к резервной копии загрузочного сектора. Для дисков FAT32 это можно сделать быстро, выбрав Position | Перейти к сектору. Введите 6 и нажмите ОК. Выберите Редактировать | Копировать сектор | Обычный. Это помещает данные в буфер обмена.
Верните точку вставки на смещение 0 относительно исходного загрузочного сектора. Выберите Редактировать | Данные буфера обмена | Писать. Сообщение сообщит вам, что «данные буфера обмена будут записаны со смещением 0». Нажмите "ОК".
Данные буфера обмена перезаписывают сектор 0 и выделяются. Строка состояния справа теперь показывает следующую полезную информацию: Состояние: Изменено, Уровень отмены: 1, Отменить обратное: Запись в буфер обмена.
Вы можете отменить изменения, выбрав «Правка | Отменить. На этом этапе упражнения вы также можете выйти из Диска C: без фиксации изменений. Если вы чувствуете себя особенно смелым и хотите проверить свои навыки ремонта дисков, выберите «Файл | Сохранить секторы. Будут сохранены только внесенные вами изменения.
Теперь вы заменили свой загрузочный сектор. Чтобы создать резервную копию и заменить MBR и таблицы разделов диска, выберите Tools | Редактор дисков и доступ к диску физически. Затем скопируйте MBR в файл и подготовьте его на случай замены.
Дополнительные инструменты
На рисунках K и L показаны другие инструменты и параметры, доступные для работы с дисками. Среди них возможность просматривать структуру каталогов, список файловых кластеров и клонировать диск. Специальные инструменты включают в себя возможность сбора свободного места, свободного места и текста для анализа; искать одновременно по разным ключевым словам; создавать оглавления для диска; создать таблицу чисел Бейтса (формат, используемый юристами для ссылки на доказательства); и выделить свободное и незанятое пространство.
| Рисунок K |
| Дисковые инструменты WinHex |
| Рисунок L |
| Специализированные инструменты WinHex |
Стирание конфиденциальных файлов
Одна последняя функция заслуживает упоминания, поскольку она относится к противоположному восстановлению данных: способность WinHex стирать конфиденциальную информацию, чтобы ее нельзя было восстановить. Файловый менеджер | Опция Wipe Securely выходит за рамки многих инструментов для уничтожения файлов. Применительно к файлу, согласно WinHex, «даже профессиональные попытки восстановить файл будут тщетными».
Wipe Securely не просто перезаписывает файл несколько раз нулями или другими символами. Файл также уменьшается до нулевой длины, а затем удаляется. Лицензии Specialist и Professional идут еще дальше: WinHex также стирает запись имени файла.
Для получения дополнительной информации
Профессиональные и специализированные функции WinHex делают это приложение недорогим и внушительным арсеналом инструментов для ИТ-специалистов или специалистов правоохранительных органов. Он отвечает потребностям тех, кому необходимо редактировать и проверять диски для восстановления данных и криминальных улик, а также тех, кто работает с конфиденциальными данными, которые необходимо надежно стереть. Дополнительные сведения об использовании WinHex см. в наборе руководств на веб-сайте WinHex.
Отменить: отменяет последнюю модификацию, если была активирована соответствующая опция отмены.
Вырезать: удаляет текущий блок из файла и помещает его в буфер обмена. Данные, следующие за блоком, подтягиваются к началу предыдущего блока.
- Обычно: Копирует текущий блок/весь файл/текущий сектор в буфер обмена. Содержимое буфера обмена можно вставить или записать позже.
- Как Unicode/ANSI: специально копирует текст из текстового столбца в формате Unicode UTF-16, даже если текстовый столбец не отображается в Unicode, или, в частности, как текст в кодировке ANSI, даже если текстовый столбец не отображается как ANSI ASCII. .
- В новый файл: данные копируются непосредственно в новый файл (не через буфер обмена). Например, с помощью этой команды можно восстановить потерянный файл из секторов диска.
– Шестнадцатеричные значения: копирование данных в виде объединенных шестнадцатеричных значений.
– GREP Hex: данные копируются в виде шестнадцатеричных значений в синтаксисе GREP.
- Отображение в редакторе: данные копируются в виде текста в формате, как если бы они отображались в шестнадцатеричном редакторе, т.е. е. со смещением, шестнадцатеричным и текстовым столбцом.
– Источник C/Pascal: данные копируются в буфер обмена в виде исходного кода в формате C/Pascal.
Вставить буфер обмена: вставляет содержимое буфера обмена в текущую позицию файла. Данные файла, следующие за этой позицией, перемещаются вперед.
Запись в буфер обмена: копирование содержимого буфера обмена в текущий файл в текущей позиции. Данные в этой позиции перезаписываются. Если встречается конец файла, размер файла увеличивается, чтобы содержимое буфера обмена нашло место.
Вставить буфер обмена в новый файл: создает новый файл содержимого буфера обмена.
Очистить буфер обмена: эта команда используется для освобождения памяти, используемой буфером обмена.
Удалить: удаляет текущий блок из файла. Данные, следующие за блоком, подтягиваются к началу предыдущего блока. Эта команда не влияет на буфер обмена. Если блок одинаково определен во всех открытых файлах (т. е. он начинается и заканчивается с одинаковым смещением), эту команду можно даже применить ко всем открытым файлам одновременно.
Вставить нулевые байты: используйте эту команду, чтобы вставить нулевые байты в текущую позицию файла.
Добавить блок как виртуальный файл: (только судебная лицензия). Если вы вручную определяете блок в режиме тома/раздела/диска/файла, эта команда позволяет добавить его в моментальный снимок тома как вырезанный файл или (в случае файлового режима) как дочерний объект исходного файла. Полезно, если вы хотите обрабатывать данные в определенной области (например, код HTML или сообщения электронной почты, обнаруженные в свободном пространстве) как файл, например. для просмотра, поиска, комментирования, добавления в отчет и т. д. Если вы вручную вырезаете файл внутри другого файла в режиме «Файл», результирующий файл будет помечен в атрибуте Attr. столбец как отрывок и может быть отфильтрован как таковой. Уже вырезанные области в файлах хоста выделяются в режиме файлов. Полезно, чтобы напомнить пользователю, создал ли он или она уже выдержки из файла и где (например, из большого виртуального файла свободного места) при продолжении просмотра этого хост-файла.
Определить блок: эта функция доступна из меню и строки состояния. Диалоговое окно позволяет указать желаемые границы или размер блока. Эту команду также можно применить ко всем открытым файлам.
Выбрать все: определяет начало и конец текущего файла как его границы блока.
WinHex по своей сути является универсальным шестнадцатеричным редактором, особенно полезным в области компьютерной криминалистики, восстановления данных, низкоуровневой обработки данных и ИТ-безопасности. Усовершенствованный инструмент для повседневного и экстренного использования: проверяйте и редактируйте все типы файлов, восстанавливайте удаленные файлы или потерянные данные с жестких дисков с поврежденной файловой системой или с карт цифровых камер. Возможности зависят от типа лицензии (сравнение типов лицензий), среди них:
- Редактор дисков для жестких дисков, гибких дисков, CD-ROM и DVD, ZIP, Smart Media, Compact Flash, .
- Встроенная поддержка FAT12/16/32, exFAT, NTFS, Ext2/3/4, Next3®, CDFS, UDF
- Встроенная интерпретация RAID-систем и динамических дисков
- Различные методы восстановления данных
- Редактор оперативной памяти, обеспечивающий доступ к физической оперативной памяти и виртуальной памяти других процессов
- Интерпретатор данных, знающий 20 типов данных.
- Редактирование структур данных с использованием шаблонов (например, для восстановления таблицы разделов/загрузочного сектора)
- Объединение и разделение файлов, объединение и разделение нечетных и четных байтов/слов
- Анализ и сравнение файлов
- Особенно гибкие функции поиска и замены
- Клонирование диска (под DOS с X-Ways Replica)
- Образы и резервные копии дисков (можно сжать или разделить на архивы по 650 МБ)
- Простой скрипт
- 256-битное шифрование AES, контрольные суммы, CRC32, хэши (MD5, SHA-1, . )
- Надежное стирание конфиденциальных файлов, очистка жесткого диска для защиты вашей конфиденциальности.
- Импорт всех форматов буфера обмена, в т.ч. Шестнадцатеричные значения ASCII
- Преобразование между двоичным, шестнадцатеричным ASCII, Intel Hex и Motorola S.
- Наборы символов: ANSI ASCII, IBM ASCII, EBCDIC, (Unicode)
- Мгновенное переключение окон. Печать. Генератор случайных чисел.
- Поддерживает файлы любого размера. Очень быстро. Легко использовать. Обширная справка по программе.
- Еще
К зарегистрированным профессиональным пользователям относятся:
Microsoft Corp., Hewlett Packard, Deloitte & Touche, KPMG Forensic, Ernst & Young,
Toshiba Europe, Ericsson, National Semiconductor, Siemens AG, Lockheed Martin, BAE Systems. ,
США федеральные правоохранительные органы, . (подробнее)
Что? Пожалуйста, ознакомьтесь с архивом новостей или форумом поддержки.
Пользовательский интерфейс и справка по программе полностью доступны на английском и немецком языках.
Пользовательский интерфейс также частично доступен на китайском, японском, французском, испанском, итальянском и португальском языках.
*Ограничения для Windows Vista/2008 Server/7: невозможно открыть физическую память. Невозможно записать сектора в разделы, содержащие Windows и WinHex.
HxD — это тщательно разработанный и быстрый шестнадцатеричный редактор, который, помимо редактирования необработанных дисков и модификации основной памяти (ОЗУ), обрабатывает файлы любого размера.
Простой в использовании интерфейс предлагает такие функции, как поиск и замена, экспорт, контрольные суммы/дайджесты, вставка шаблонов байтов, уничтожение файлов, объединение или разделение файлов, статистика и многое другое.
Редактирование работает так же, как в текстовом редакторе, с упором на простую и ориентированную на задачу операцию, поскольку такие функции были упрощены, чтобы скрыть чисто технические различия.
Например, диски и память представлены как файл и показаны как единое целое, в отличие от представления с ограничениями по секторам/регионам, которое обрезает данные, которые потенциально принадлежат друг другу. Диски и память можно редактировать так же, как и обычный файл, включая поддержку отмены. Кроме того, разделы памяти определяют складную область, а недоступные разделы по умолчанию скрыты.
Более того, мы приложили много усилий, чтобы сделать операции быстрыми и эффективными, вместо того, чтобы заставлять вас использовать специальные функции по техническим причинам или произвольно ограничивать размер файлов. Это включает в себя отзывчивый интерфейс и индикаторы выполнения длительных операций.
Возможности
| Версия | 2.5.0.0 (11 февраля 2021 г.) Что нового? | ||||
|---|---|---|---|---|---|
| ОС | Windows XP, 2003, Vista, 7, 8 или 10 | ||||
|
|