业内新闻

WinHex恢复RAW分区：一个数据老兵的现场笔记

上周三下午，一个客户抱着块3TB的硬盘冲进来，满面愁容。插上电脑，盘符显示RAW，提示未初始化。我问他之前做了什么，他说“就正常关机，再开机就这样了”。这种案例我见过太多，很多情况下用WinHex就能救回来。今天就把这些年用winhex恢复RAW的思路和坑一起抖出来，希望能帮到同样抓狂的你。 www.fixhdd.cn

一、RAW的本质：并不是“数据死亡”，而是“索引走丢”

RAW这个状态，其实系统只是读不到文件系统的元数据（比如NTFS的$MFT、FAT的DBR），但文件内容大概率还在。分区表没丢，只是引导扇区坏了或者BPB参数乱了。记住这个前提：千万别格式化，格式化会重写元数据，等于把一点线索也覆盖了。

www.fixhdd.cn

有一次我接了个移动硬盘，客户自己用第三方工具“修复”了一夜，第二天变成了RAW。我一看，分区表被改得面目全非。那次我花了整个下午手工调参数，只救回七成数据。，第一步永远是全盘镜像——用WinHex做镜像比用普通的ghost靠谱，因为WinHex可以跳过坏扇区，还能保留原始坏道标记。镜像完再对着镜像操作，怎么折腾都不怕。 www.fixhdd.cn

1.1 快速诊断：是DBR挂了还是MFT/GPT遭了？

插上硬盘，打开WinHex，点击“Tools” → “Disk Editor”，选择对应的物理磁盘（不是分区！）。如果能看到分区表项（MBR或GPT），说明分区结构还在。接着跳到分区的起始扇区——一个健康的分区开头应该是前三个字节是“EB 52 90”（NTFS的DBR标志）。如果看到全是0或乱码，基本就是DBR损坏。
这时候，winhex恢复RAW的核心思路就出来了：要么从同型号硬盘的备份里抄一个DBR过来，要么手动计算出正确的BPB参数写回去。技王数据恢复

二、实操：手工重建DBR，让RAW变回NTFS

不要被“手工”两个字吓到，实际上WinHex提供了模板和计算器，我现场演示一个真实案例。
客户是个摄影师，2TB移动硬盘变成RAW，里面全是婚礼照片。我先让他签了免责协议（一定要签！），然后开始。 www.fixhdd.cn

2.1 备份当前扇区

选中第一个逻辑分区（其实是RAW分区），将它对应的整个线性空间保存成一个.dd文件。WinHex里选“File” → “Backup” → “Create Backup of Sector Range”。哪怕只备份前256个扇区也好，万一写错了还能恢复原状。

www.fixhdd.cn

2.2 查找原始的$MFT起始位置

因为文件系统索引丢失，但$MFT本身是个文件，通常留在分区的开头附近。用WinHex的搜索能力：按Ctrl+F，选择“Hex values”，输入“46 49 4C 45 30”（即"FILE0"的ASCII），搜索范围设为“整个分区（即物理磁盘的那个分区扇区范围）”。运气好的话，几秒钟就能找到。记下那个扇区号——假设是LBA 4096。

www.fixhdd.cn

关键判断：$MFT的簇号与DBR的簇大小必须匹配

NTFS的DBR里有个重要字段叫作“每扇区字节数”（通常是512或4096）和“每簇扇区数”。$MFT的起始簇号一般记录在DBR的偏移0x30处（4字节）。我们只知道$MFT的实际LBA是4096，那如何反推出正确的簇大小？假设每扇区字节数是512，DBR本身的微默认值可以套用常见模板（比如NTFS 4K对齐时每簇8扇区）。由于找不到DBR，可以试试不同组合：
如果$MFT的LBA = 簇起始LBA + ($MFT起始簇号 × 每簇扇区数)。在镜像里找到的$MFT的LBA是4096，那么需要找到一个合理的簇起始LBA（通常是分区的第一个扇区，即LBA 0）和簇号。比如假设每簇扇区数为8，则$MFT起始簇号 = 4096 / 8 = 512。把这个值写到DBR偏移0x30处。但还要验证其他参数如$DATA的MFT镜像等。这里我通常采用更简单的方法——从同容量同分区类型的已知好盘里拷贝一个DBR模板。反正2TB NTFS分区，大部分参数都是标准的。 www.fixhdd.cn

2.3 使用WinHex的“模板管理器”修DBR

在WinHex中，将当前扇区（即分区起始扇区）选中，然后点击“View” → “Template Manager”，选择“NTFS Boot Sector”。在弹出的窗口里，填上从类似硬盘取得的参数：每扇区字节数512，每簇扇区数8，保留扇区数（一般为0，其实NTFS的DBR占16扇区，但第一个扇区是DBR本身），总扇区数可以从分区表获取，等等。填完后点“Apply”，WinHex会自动计算校验和。然后写入磁盘。
注意：写入前一定要确认分区起始扇区是正确的，否则会破坏其他分区。我习惯先写入到一个测试镜像文件里，验证文件系统能否识别。

那次摄影师的硬盘，我用的是网上找的一个同型号硬盘的DBR备份（当然是从我的经验库中提取的）。写入后，重新插拔——盘符从RAW变成了NTFS，所有照片完好无损。客户当场就哭了。其实这种案例比较单纯，真正麻烦的是那些被覆盖过部分元数据的。

三、进阶：当$MFT本身也受损时怎么办？

不是所有RAW都能靠恢复DBR解决。有一次我遇到一台老式笔记本的SATA硬盘，变成RAW后我用WinHex查看，$MFT区域全是0——原来被病毒恶意清零了。这时候单纯的winhex恢复RAW方法就不够了，需要借助“目录恢复”技巧。WinHex的“File Recovery by Type”功能可以按文件签名捞数据，比如JPEG、RAW、DOC等。但这样会丢失文件名和目录结构，只能得到一堆乱序文件。有个土办法：先扫描全盘，记录所有文件的起始簇和大小，然后尝试构建一个虚拟的$MFT。技王数据恢复的同事曾经用这种方法救回过一个律师事务所的最终版合同，但那工作量巨大。

3.1 用WinHex脚本批量重建文件名

如果分区里还有$MFT的镜像（$MFTMirr），通常位于分区中间某个位置，可以通过搜索“FILE0”找到。把镜像里的记录复制回$MFT区域。操作比较繁琐，但成功率很高。具体步骤：
1. 搜索“FILE0”找到两个位置，一个是主$MFT，一个是镜像$MFT（通常在分区中后部）。
2. 比较两者的扇区内容，如果镜像比主$MFT完整，就用WinHex的“Edit” → “Write Block”把镜像扇区覆盖回主$MFT区域。
3. 注意覆盖时只覆盖损坏的簇，不要动尾部的好数据。

这个技巧我一般不对外讲，因为一旦写错扇区，数据就彻底没了。如果你是老手，在用WinHex做完全镜像的前提下，值得一试。

四、一些血的教训（资深工程师的啰嗦）

不要直接写回物理盘：除非你是给客户展示成果，否则永远在镜像文件上操作。WinHex可以直接以镜像文件作为工作磁盘，方便又安全。
分区表也要检查：有些RAW其实是分区表项中的“分区类型”被改成了0x07（NTFS）之外的值，比如0x0C（FAT32）。用WinHex查看分区表，确认分区类型、起始LBA、大小都正确。我曾经遇到一个奇葩情况，分区起始LBA被改错了2个扇区，导致系统读不到DBR而显示RAW，修正LBA后直接恢复。
关于4K对齐：现在的大容量硬盘普遍使用4K扇区，物理扇区4096字节，但操作系统仍然模拟512字节逻辑扇区。WinHex看的是逻辑扇区。如果DBR里“每扇区字节数”填的是4096，会出大事。记住：绝大多数NTFS的DBR里“每扇区字节数”都是512，哪怕物理扇区是4K。
遇到坏道不要慌：用WinHex做镜像时，勾选“Skip bad sectors”，然后对坏道区域做多次重读。有些RAW是因为坏道正好在DBR区域，系统读出来全是FF，就认为不可识别。这种情况下，只要坏道不是特别严重，用相同的参数重建一个DBR填进去，仍然可以读取后面的数据。

提一句，技王数据恢复团队在手工处理RAW方面积累了很多内部工具和宏命令，可以快速匹配DBR模板，但核心思想还是理解文件系统的底层结构。你如果只是偶尔遇到一次RAW，用上面的方法基本能搞定九成。

五、总结：一个RAW修复者的信条

说白了，winhex恢复RAW本质上就是“猜对文件系统参数，并正确写回”。成功的关键有三个：
一是扎实的NTFS/FAT32底层知识，二是胆大心细的操作习惯，三是一颗愿意折腾的心。
遇到RAW时别慌，先做镜像，再分析，动手。很多所谓的“RAW无解”其实只是没找对方法。如果你实在搞不定，不妨找一个有经验的人看一眼，有时候就是一两个字节的事。像有一次一个小白读者按我的文章操作，把分区起始LBA搞错了，结果更乱。后来他找到了我，我远程一看，发现他其实把DBR写到了分区里第100个扇区，哈哈。正确位置是0号扇区。这种事情看多了，你就会觉得WinHex真是个神器，但也是个双刃剑。