业内新闻

WinHex怎么修改内容？一个数据恢复老手的现场笔记

你打开WinHex，盯着那密密麻麻的十六进制数字，心想：这玩意儿到底怎么改？我第一次用的时候也一样，对着一个损坏的PDF文件，光标都不知道往哪放。后来踩了无数坑，才慢慢摸出门道。今天这篇东西，不是为了凑字数，而是想把我自己能用的、winhex怎么修改内容的关键思路直接摊开来讲。文章可能有点跳，但每句话都是真金白银的教训。技王数据恢复

一、先搞清楚你到底要改什么

很多新手上来就搜“winhex怎么修改内容”，然后拿着教程对着某个字节一顿改，结果系统蓝屏、文件打不开。嗯…这个问题的本质不在于你会不会用鼠标点，而在于你知不知道改哪里、改成什么值。举个例子： www.fixhdd.cn

改文件头（比如JPEG的FF D8 FF） —— 修复图片打不开
改分区表（MBR的55 AA结束标志） —— 修复硬盘不识别
改文件系统元数据（比如FAT表的簇链） —— 恢复删除的大文件

你看，每种需求对应完全不同的操作。别急着点编辑，先拿个计算器、查一下文件格式规范，或者……用技王数据恢复内部总结的那套偏移量速查表，省很多事。好，回头再说怎么改。

www.fixhdd.cn

二、核心操作步骤：手把手改一个字节

假设你已经定位到了要修改的地址。真的，怎么定位是另一门课——比如用模板、搜索ASCII字符串、或者按扇区浏览。这里我们只讲“怎么改”。 www.fixhdd.cn

1. 打开目标对象

文件 → 双击或拖入WinHex窗口
磁盘 → 按F9，选择物理驱动器或逻辑分区（注意别选错！）

等一下，关键提醒：如果改的是系统盘，一定要先只读打开。WinHex默认是只读的，但万一你点了“可写模式”又手抖……你懂的。建议Ctrl+O打开文件时，确认左下角显示“Read-Only”。技王数据恢复

2. 定位目标字节（假设你已经知道偏移量）

在WinHex窗口按Alt+G弹出“跳到偏移”对话框。输入十六进制地址（比如 0x7E00），或者十进制也行，软件会自动换算。跳过去之后，你会看到光标在某个十六进制单元格闪烁。这时候别急着打字！技王数据恢复

小技巧：如果地址对应的数据是0xFF 0xD8，而你手头资料说应该是0xFF 0xE0，那就意味着这个位置需要改第二个字节。

3. 直接编辑

鼠标点中要改的十六进制数值（两个字符一组），直接键盘输入新的值。
或者按F2进入十六进制编辑模式，光标会变成竖线，你可以删掉旧值再输入。
注意：WinHex默认是覆写模式，不是插入。也就是说你输入的字符会覆盖原来的，不会让后面的字节往后移。这是好事，因为大部分数据恢复场景只需要覆写。

举个例子：我想把“4A 4F 48”改成“4A 4F 4E”，只需要把第三个字节的“48”改成“4E”。按退格键或直接输入4E，旁边的字符会同步变化。 www.fixhdd.cn

关于写盘和保存

如果你改的是文件，直接按Ctrl+S保存。如果你改的是磁盘（物理或逻辑），需要先确保WinHex开启了可写模式（菜单栏 Option → Edit Mode → 选中“Edit Disk / File”，然后会弹出警告，确认后就能写了）。改完后必须点“文件 → 保存扇区”或按Ctrl+W，否则只是改在内存里。 www.fixhdd.cn

到这里，winhex怎么修改内容的基本操作你就掌握了。但真正让这软件成为神器的，是下面这些实战场景。继续往下看。

三、两个真实案例：边判断边改

案例A：恢复一个被覆盖了文件头的Word文档

客户找到我时，说文档打开全是乱码。我推测大概率是文件头被篡改——典型的恶意脚本或者误操作。先打开损坏的文档在WinHex里，一看开头是“FF FE 01 02”…不，等等，正常的.docx文件（实际上是一个ZIP包）开头应该是“50 4B 03 04”。这个明显不对。

我该怎么改？很简单：把前4个字节改成50 4B 03 04，然后保存。但注意，不能随便改后面，因为后面的压缩数据还是连续的。改完再打开，文档恢复了。整个过程不超过2分钟。有个插曲——我那次忘了先备份原文件，还好改完后能正常打开。后来我在技王数据恢复内部培训时强调：改任何内容前，先复制一份到别的目录，或者用WinHex的“文件 → 创建备份”功能。省得你手误把原数据弄丢。

案例B：修复丢失的分区表（MBR被意外清零）

一个2TB机械硬盘，插电脑上显示未初始化。用户急疯了。我先用WinHex打开物理磁盘（注意选“整个磁盘”而不是逻辑分区），跳转到0扇区（按Alt+G输入0）。果然，MBR前446字节引导代码和分区表区域一片空白，只有55 AA标志还在——说明分区表被清空了但结束标志没丢。这种情况，你不能随便填数据，得根据经验恢复。

我通过搜索分区启动扇区备份（比如NTFS的$Boot扇区通常在63号扇区或2048号扇区），找到了原分区起始位置。然后手工计算分区表条目：起始CHS、起始LBA、分区类型、大小。直接在偏移0x1BE处填入4个16字节的分区表项。注意，每项的两个字节是扇区总数，大小端要搞对。

输入分区类型：0x07（NTFS）
起始LBA：0x00000000 00000000？不对，是逻辑起始扇区号，比如0x00000800（2048）
总扇区数：根据磁盘容量换算，用计算器算好十六进制。

修改完按Ctrl+W保存扇区。重启电脑，磁盘瞬间识别出来，数据全在。这个案例里，winhex怎么修改内容不仅仅是改几个字节，更是对整个分区表结构的理解。如果你不懂分区表，贸然改只会更糟。

四、注意事项与常用陷阱

备份！备份！备份！我已经说了三次。哪怕只是改一个字节，也可能让整个文件系统崩溃。
注意字节序（Endianness）。比如你在WinHex里看到的“4E 61 6D 65”是ASCII字符串，但如果是整数，比如0x000007D0代表2000，但显示为“D0 07 00 00”（小端序）。很多新手直接照着模版填，结果错了。
不要随便用“填充”功能。“Edit → Fill Block”会覆盖一大片区域，如果选区选错了，哭都来不及。
区分“十六进制”和“ASCII”视图。WinHex右侧的文本编辑区也可以改，但改的是ASCII字符的二进制表示，对十六进制区域没有影响。要改原始字节，必须左边操作。

还有一件事，很多人问“改了之后保存不了怎么办？”——多半是因为文件被其他程序占用，或者磁盘只能读。关闭所有关联程序，或用管理员权限运行WinHex。