来源：DFIR
0
目录
1
实验环境
|
|
|
|
|
|
|
|
2
什么是WinHex?
1
（一）
WinHex中文设置
1
WinHex中文设置路径
2
中文显示界面
2
（二）
WinHex功能面板简介
1
WinHex功能面板
A-菜单栏
B-工具栏
C-案件数据
D-当前状态栏
E-偏移量纵坐标
F-偏移量横坐标
G-分区快捷入口
H-16进制数据编辑区
I-文本区
J-详细信息栏
K-扇区
L-分隔扇区
M-数据解析器
3
（三）
WinHex只读模式（写保护）设置
没有硬件只读锁的情况下，可尝试用软只读的模式来做临时代替，软只读模式非绝对的安全，绝不要直接使用案件检材（要使用也是使用检材镜像副本，此处不再赘述），防止被污染---【蘇小沐】
1
WinHex只读模式（写保护）
4
（四）
WinHex制作磁盘镜像教程
1
WinHex制作磁盘镜像路径
2
选择驱动器
3
WinHex镜像参数设置
4
镜像开始制作过程
5
镜像hash校验
WinHex哈希值校验。
5
（五）
WinHex制作特定区域镜像教程
在取证分析的过程中经常会遇到有坏分区、未知的视频监控格式等取证软件无法正常取证的磁盘、我们首先需要查明它的文件格式，但现在的磁盘动辄TB级以上，如果对其全盘镜像，不仅耗时耗资，也不方便移动传输；此时我们可以先对该磁盘进行部分镜像，也就是对磁盘的特定区域进行镜像，下面用WinHex来介绍对磁盘进行特定区域的镜像教程—【蘇小沐】
1
创建磁盘镜像
同创建磁盘镜像的步骤
2
指定镜像大小
我们的目的只是想查清楚其文件格式类型，并不需要全盘或整个分区的镜像，通常对镜像的头部扇区制作100MB~500MB左右的镜像即可，以下以100MB的大小来制作镜像。
3
镜像制作完成
4
镜像文本记录
（六）
WinHex跳过坏扇区制作磁盘镜像
在镜像制作的过程中，如遇到有坏分区、坏磁道导致镜像制作失败，可使用WinHex设置遇到坏扇区跳过，从而保证镜像的成功制作，但对于坏扇区较多的情况，镜像受损的区域是没有数据的，因为设置了坏扇区跳过，如需分析则需要更底层的硬件设备才能实现，此处只是为了方便取证分析而作的记录，仅供参考---【蘇小沐】
1
创建磁盘镜像
同创建磁盘镜像的步骤
【路径：文件（F）->创建磁盘镜像（C）->选择磁盘】
2
设置跳过坏扇区
在正常制作镜像时，遇到坏扇区导致镜像制作失败，可设置遇到坏扇区跳过。
7
（七）
WinHex磁盘克隆教程
WinHex克隆功能，演示选的是整个磁盘镜像，如果只想要特定的扇区，可以在B区域自定义选择---【蘇小沐】
1
磁盘克隆（扇区复制）
2
源盘：选择镜像磁盘
上半部分-逻辑分区；下半部分-物理磁盘。
在源盘区域选择需要做克隆的“磁盘或分区”，支持盘对盘，磁盘对镜像文件、镜像文件对磁盘的多种复制方式；支持完整复制和区域复制。
3
目标盘：选择保存路径
选择除了源盘（需要做克隆的盘），来存储镜像文件，且存储盘容量要大于源盘容量。
2、直接选择保存的文件夹路径、并命名镜像（需要加后缀）
可以直接这步选择保存路径，注意别保存位置错误就行。
4
开始制作镜像
上面完成后，就可以点击确定开始制作镜像了（如果磁盘有坏区，可勾选下面的选项，跳过或填充坏扇区）。
C区支持坏扇区跳过并填充替代数据的功能；支持后台记录日志功能；支持复制性能优化功能。
【*如果WinHex是试用版本，则无法保存大于200KB的文件】
8
（八）
记一次WinHex镜像还原（恢复）到磁盘测试记录
镜像恢复到磁盘，怎么操作？会不会对磁盘有影响，是恢复到空磁盘？还是恢复到有数据的磁盘也可以？有数据的盘磁盘空间很多，恢复到这里有没有关系？会不会清空磁盘原来的数据啊？哈哈，下面带你测试，看看结果如何—【蘇小沐】
1
WinHex恢复镜像文件路径
【WinHex恢复镜像文件路径：“文件（F）”->“恢复镜像文件”】
2
选择镜像类型
首先选择镜像类型(磁盘或卷、分区)；接着选择镜像分段位置，没有就不用选(*扇区数自定义，不清楚就默认)。
3
还原到空硬盘
4
磁盘管理器查看
我们打开磁盘管理器看下啥情况。
5
DiskGenius查看
为了更加直观展示，我们使用DiskGenius接着查看下。（DiskGenius也有此功能，需要可以自行测试）
6
还原到有数据的磁盘
会直接覆盖掉源盘数据。
原文始发于微信公众号（电子物证）：【WinHex入门教程合集，看这一篇就够了】
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论