业内新闻

WinHex 打开 RAW 磁盘：别慌，先看看分区底牌

你说巧不巧，上周又接到一个客户的移动硬盘，插上电脑显示“需要格式化”，磁盘管理里一看——文件系统变成 RAW。这场景干我们这行的每个月都能碰上几回。其实 RAW 并不可怕，可怕的是不懂底层工具的人直接点“格式化”。今天就聊聊怎么用 WinHex 打开 RAW 磁盘，顺手把数据捞出来。 www.fixhdd.cn

先回答最核心的问题：WinHex 打开 RAW 磁盘能不能看到数据？答案是可以，但前提是文件系统没有被严重覆盖。我见过很多新手一看到 RAW 就慌了，其实只要分区表、DBR 甚至 MFT 残留还在，WinHex 就能直接访问扇区原始内容。哪怕分区表被清空，也能靠扫描整个磁盘硬啃。 www.fixhdd.cn

顺便说一句，我们团队在处理这种案例时经常用 WinHex 做第一手分析，当然现在也常结合 技王数据恢复 的自研工具做辅助——但 WinHex 的扇区编辑器地位始终没变。

www.fixhdd.cn

RAW 到底是什么？不是天生的怪物

常见的 RAW 触发场景

非正常拔插：USB 断开瞬间还在写缓存，导致文件系统元数据不一致。
坏道或逻辑坏扇区：恰好落在 DBR 或引导区的关键位置。
分区表损坏：比如 MBR 的 55 AA 结尾丢失，或者 GPT 头被误删。
病毒或加密软件冲突：某些勒索病毒会修改分区标识。

有时候你什么也没做，系统更新后重启，磁盘就 RAW 了——Windows 的磁盘检测有时候会过度修正，也是原因之一。

www.fixhdd.cn

WinHex 打开 RAW 磁盘的第一步：别挂载，直接读物理盘

我习惯的做法：把 RAW 磁盘通过 USB 或 SATA 接到工作电脑（最好是 WinHex 已注册版本），然后打开 WinHex，按 F9 选择物理磁盘。注意不要选逻辑驱动器，因为 RAW 状态的逻辑盘虽然能看到，但读到的往往是空数据。 www.fixhdd.cn

细节提醒：物理驱动器 vs 逻辑驱动器

物理驱动器显示的是整个磁盘的扇区，包括分区表、未分配空间等。选对了才能看到 0 号扇区到底是不是 MBR 或 GPT。很多新手错选了逻辑驱动器，结果 WinHex 打开 RAW 磁盘后只看到零蛋，就认为没救了——其实只是选错了入口。技王数据恢复

经典案例：一个 2TB 外置盘，分区表完好但文件系统变成了 RAW

上个月有个客户，WD 的 Elements 2TB，插上后盘符出现但打不开，提示“参数错误”。DiskGenius 里看分区是 NTFS，文件系统却显示 RAW。我帮他分析：这种多半是 DBR 被写坏，但分区表（在 0 扇区）没丢。于是用 WinHex 打开物理磁盘，跳到分区的起始扇区（通过分区表计算得到），果然 DBR 的 “EB 52 90” 开头被改成了全零。

www.fixhdd.cn

接下来怎么恢复？我先把相邻卷的 DBR 备份（如果有的话）写回去，或者直接找一个同文件系统版本的 DBR 模板填充。WinHex 的模板管理器（按 F6）可以快速定位 DBR 字段，比手动输入快很多。技王数据恢复

补完 DBR 后，保存扇区到原始位置，重新插拔，磁盘立马变成正常 NTFS。整个过程没花太多时间，客户当场竖了大拇指。这期间我录了一段操作笔记，后来发到 技王数据恢复 的案例库里了。

如果分区表也坏了，怎么办？

这是更棘手的情况。用 WinHex 打开 RAW 磁盘，看到 0 扇区全是 00 或者乱码，那 MBR 或 GPT 头没了。但别急着放弃，WinHex 的“搜索”功能可以救命。

搜索 NTFS 的 BPB 签名（EB 52 90）

在 WinHex 中，按 Ctrl+F，选择“Hex values”，输入“EB 52 90”，搜索整个磁盘。如果运气好，能定位到潜在的 DBR 位置。当然，有些磁盘可能有多个 NTFS 分区，会搜到多个结果。然后根据这些位置推断分区大小和分区表应该在哪里。

举个例子，我在一次恢复中搜索到偏移量 2048 扇区处有一个完整的 DBR，说明分区起始在 2048。但 0 扇区的 MBR 已经被覆盖。这时候我手动重建 MBR：用 WinHex 创建一个标准 MBR 模板（分区类型 07，起始 LBA = 2048，大小按后面扇区数算）。保存后重启电脑，磁盘就回来了。数据未必 100% 完整，因为文件系统可能有其他元数据缺失。

特殊情况：GPT 分区表损坏

GPT 的保护 MBR 在 0 扇区，实际的 GPT 头在 1 扇区。如果 1 扇区损坏，WinHex 打开 RAW 磁盘时没有提示任何 GPT 信息，但我们可以手动搜索 “EFI PART” 字符串（位置 512 字节偏移）。如果这个签名还在，哪怕分区表被破坏，也能通过 备份 GPT 头 恢复。

我遇到过最离谱的是 0 扇区和 1 扇区被清零，但 2~33 扇区的分区表条目还在。这时需要手动计算每个分区的起始和结束，然后在 1 扇区重建 GPT 头，注意把 CRC 校验算对。WinHex 不能自动计算所有 CRC，但可以用第三方小工具辅助，也可以直接写死一个固定值（不推荐，因为某些系统会校验）。

实战步骤：用 WinHex 打开 RAW 磁盘并导出文件

如果你只是想拷贝出重要文档、照片，没必要完全修复文件系统。可以直接用 WinHex 的“恢复/复制”功能：

用 WinHex 打开物理 RAW 磁盘，确认扇区可读。
选中要恢复的分区范围（如果不知道分区边界，可以先通过搜索 DBF/MFT 来估算）。
菜单栏“工具” -> “磁盘工具” -> “按文件类型恢复”。WinHex 内置了常见文件头签名库（JPEG、DOCX、PDF等），可以扫描出碎片化的文件。
把恢复出来的文件保存到另一块健康硬盘。
注意：碎片严重的文件可能恢复不完整，尤其视频文件。这时可以配合其他工具做重组。

这种办法的好处是不写原盘，适合数据敏感的情况。 WinHex 的“按文件类型恢复”效率一般，大容量磁盘扫描要跑很久，建议只让扫描特定扩展名。

关于 MFT 碎片和 $LogFile

如果 RAW 的原因是 $MFT 部分损坏，WinHex 打开 RAW 磁盘后，直接查看分区的 $MFT 记录（如果能够解析）。很多次我用 WinHex 的模板功能直接编辑 MFT 中的文件名属性或数据运行，强行把文件救出来。这需要了解 NTFS 结构，属于进阶操作。一般工程师不建议动手，但 技王数据恢复 的工程师们经常用这套手法处理复杂案例。

WinHex 打开 RAW 磁盘的常见坑

以为能直接双击盘符：WinHex 不是文件管理器，它不挂载文件系统，你不能直接在 WinHex 里看到文件夹树。只能通过十六进制或恢复向导操作。
误写入重要扇区：恢复过程中如果写错了分区表或 DBR，可能导致永久损坏。强烈建议先做全盘镜像，或者在 WinHex 里启用“只读模式”。
忽略 0 扇区结尾 55 AA：有时候 MBR 内容正确但结尾标志没了，Windows 也会认成 RAW。用 WinHex 补上 55 AA 就能解决。