WinHex(十六进制编辑器)

　　WinHex是一款非常强大的且通用的十六进制编辑器，它还有一个名字叫X-Ways Forensics，但是通常都显示为WinHex，该程序主要针对数据分析而开发，其应用范围非常广泛，主要是通过计算机对不同类型的数据以及文件进行取证研究；该程序具有专家许可，同时提供了多个附加的取证功能，但不支持解释或解释图像和功能，在X-Ways取证中，仅在查看模式（只读）中严格打开磁盘，解释的图像文件，虚拟内存和物理RAM，以执行取证程序；用户还可以通过该程序编辑磁盘扇区并擦除整个磁盘，可用空间，松弛空间，选定的文件，选定的磁盘区域等；强大又实用，需要的用户可以下载体验

软件功能

　　功能取决于许可证类型，包括：

　　硬盘，软盘，CD-ROM，DVD，SmartMedia，CompactFlash等的磁盘编辑器

　　的原生解释FAT12 / 16/32，exFAT的，NTFS和Ext2 / 3/4， Next3 ® ，CDFS，UDF

　　内置对RAID系统和动态磁盘的支持

　　各种数据恢复技术

　　RAM编辑器，用于编辑其他Windows程序的RAM和虚拟内存

　　用于20种数据类型的数据解释器

　　使用模板编辑数据结构（例如分区表，引导扇区）

　　连接，分解，分析 和比较文件

　　特别灵活的搜索和替换功能

　　克隆数据载体，在DOS下也具有专家许可

　　磁盘映像和备份（例如，可压缩和分割成650 MB的片段）

　　256位AES加密，校验和，CRC32，哈希码（MD5，SHA-1等）

　　安全删除机密数据

　　导入所有剪贴板格式，包括文本格式的十六进制值

　　转换二进制，十六进制ASCII，英特尔十六进制和摩托罗拉S格式

　　字符集：ANSI-ASCII，IBM-ASCII，EBCDIC，（Unicode）

　　在编辑窗口之间快速切换

　　支持任何大小的文件，打印，随机数生成器，程序帮助

软件特色

　　模板管理器列出在WinHex目录包含模板定义的所有文本文件。模板的标题连同描述、文件名和最后一次修改的日期和时间一起显示。单击“应用”按钮，使用当前位置的当前编辑器窗口中的数据选择的模板定义显示模板。还可以创建新的模板定义、删除或编辑现有的模板。

　　用十六进制符号指定的恒定字节值：指定1、2、3、16、4、5、6、12、15或2个字符十六进制值，该值将被重复地复制到当前块、整个文件或所有磁盘扇区中。很快。

　　用简单的伪随机字节值：指定一个十进制间隔（0到255最大）为随机数，将重复复制到当前块，整个文件或所有磁盘部门，分别。随机字节是拉普拉斯分布。快。

　　用模拟加密的伪随机数据：与加密数据没有区别的随机数据。很快。

　　与加密的声音伪随机数据：密码安全的伪随机数发生器（csprng）叫艾萨克，非常慢。

　　内存编辑器/分析

　　内存编辑器是工具菜单的一部分。它允许检查物理RAM /主存储器和一个进程的逻辑内存（即正在执行的程序）。由进程提交的所有内存页都以连续块形式呈现。未使用的（免费或保留）页默认情况下被忽略，但可选地包含和显示“？”字符。没有这样的差距，你可以把内存转储文件正与另一个（绝对和虚拟地址是相同的），如检查堆栈和堆的状态或观察病毒。

安装步骤

　　1、用户可以点击本网站提供的下载路径下载得到对应的程序安装包

　　2、通过解压功能将压缩包打开，打开程序数据包后就可以看到对应的程序文件

　　3、找到主程序，双击主程序即可将程序打开，弹出功能分布清晰的界面

使用说明

　　磁盘克隆，磁盘映像

　　创建驱动器/分区/磁盘（例如磁盘驱动器）的精确副本。例如，为了节省在同一类型的多台计算机/硬盘上完整安装操作系统和其他软件的时间，或者在数据丢失或安装损坏时能够恢复正常运行的安装（备份/保险丝）。也适用于计算机取证专家，因为当您寻找数据载体的线索时，他们必须处理副本。您可以直接克隆，也可以通过图像文件克隆。菜单：其他| 磁盘工具| 克隆磁盘

　　RAM编辑器

　　出于调试目的（编程），用于检查/操纵任何正在运行的程序，尤其是计算机游戏（用于作弊）。其他| RAM编辑器

　　分析文件

　　例如，确定从磁盘扫描程序或chkdsk作为丢失的群集链恢复的数据类型。例子。其他| 分析文件

　　销毁机密文件并安全删除卷

　　这样，任何人（甚至不是计算机取证专家）都将无法再次显示它们。要删除文件，请使用“文件管理器” |“删除”。安全删除。要完全擦除光盘，请使用光盘编辑器将其打开，然后使用“编辑” |“删除”。填充扇区。覆盖z。具有零字节（十六进制值00）或随机位。

　　删除未使用的内存和空闲空间

　　以填补安全漏洞，以安全地销毁先前存在的和通常删除的秘密或机密文件，或压缩磁盘备份的大小（例如WinHex备份或Norton Ghost备份）因为初始化区域可以压缩99％。在NTFS驱动器上，WinHex甚至可以清除所有当前未使用的$ Mft（主文件表）文件记录，因为它们可能仍包含存储在其中的文件名和内容片段。在与文件相关联的最后一个集群的未使用的尾部中发现了松弛空间，该文件通常包含先前存在的文件的痕迹。滑动存储器可以像其他所有事物一样快速处理WinHex。另请参阅X-Ways安全性。

　　ASCII-EBCDIC转换

　　允许在大型计算机和PC之间双向交换文本。您甚至可以根据自己的特定需求定制WinHex（ebcdic.dat）中的字符转换表。编辑 转换

　　二进制，十六进制ASCII，Intel-Hex和Motorola-S转换

　　对于（E）PROM程序员。编辑 转换

　　合并和拆分偶数和奇数字节/字

　　以进行（E）PROM编程。文件管理器 合并/拆分

　　分解大文件

　　不适用于较小的磁盘。文件管理器 拆卸/串接

　　WinHex作为一种发现和学习工具

　　您确定Microsoft Word确实丢弃了文档中以前的内容吗？您可能会惊讶于您仍然可以在.doc文件中找到长删除的文本。您可能不希望与您共享.doc文件的人看到的文本...发现各种软件程序在其文件中存储的内容。检查未知的文件格式，并了解它们如何工作。分析z。例如，可执行文件的结构以及如何将其加载到内存中。可能性几乎是无限的。这是另一个重要的：

　　使用组合搜索或文件比较功能在保存游戏的藏匿处中找到有趣的值（例如，生命数，弹药，资产等），以便以后进行操作。

　　通过遵循Internet上现有的作弊秘籍页面教程或开发自己的作弊行为，为每个计算机游戏操纵游戏商店。

　　使用较大的硬盘驱动器升级MP3 Jukeboxes，Xbox等。

　　为此，必须首先准备新的硬盘驱动器。以下是Creative Nomad MP3自动点唱机，DAP自动点唱机和Microsoft Xbox的说明。您还可以更改Xbox 的名称。

　　编辑文字

　　甚至那些不打算改变的人，例如 在二进制文件中。这不是很方便，但是在以下情况下，可以通过编辑可执行文件中的文本来将几乎任何软件翻译成另一种语言：B.源代码不可用（已丢失）。或者，您可能想要编辑生成应用程序不允许您直接执行的特定二进制类型的文件中的文本。例如，程序员发现他们的编译器会自动为其项目创建一个配置文件，该文件的文件名（应用程序名称+ .cfg）与使用自己的软件本身的文件相冲突。如果您当地的法律和许可允许

　　使用磁盘编辑器查看和操作无法以常规方式编辑的文件 ...因为它们受Windows保护（例如，页面文件或Internet Explorer中的临时目录和文件）。

　　其他| 磁盘编辑器

　　查看，编辑和修复系统区域

　　例如主引导记录及其分区表和引导扇区。其他| 磁盘编辑器| 接入交换机

　　隐藏数据或发现隐藏数据

　　例如，在.jpg文件（隐写术）的可疑末端之后或未使用的区域中，您的逻辑驱动器或物理磁盘。特别是，WinHex支持访问操作系统未使用的开销扇区，因为它们无法添加到整个群集（分配单元）或整个柱面中。

　　复制和粘贴

　　对文件，介质和内存使用复制和粘贴或复制和写入（=覆盖）。您可以z。例如，从硬盘驱动器复制并在任何时候再次写入剪贴板的内容，而不必考虑扇区边界！

　　无限撤消

　　编辑允许您撤消任何步骤。仅限于可用磁盘空间。编辑 撤消

　　向前和向后跳转 WinHex跟踪偏移偏移，并允许您在Internet浏览器允许访问网页的情况下向后和向前跟踪链。职位| 后退/前进

　　脚本使用脚本

　　自动编辑文件甚至磁盘，以简化重复的例行任务或在网络上未占用的远程计算机上执行特定任务。执行所提供脚本以外的脚本的能力保留给专业许可证的持有者。可以从“启动中心”或命令行运行脚本。在脚本运行时，您可以按Esc键取消。借助其扩展的应用程序选项，脚本可替换WinHex以前版本中已知的例程。

　　API（应用程序编程接口）

　　专业用户可以在自己的Delphi，C / C ++和Visual Basic程序中利用WinHex的高级功能。WinHex API为您提供了一个方便的界面，用于随机访问文件和卷（在扇区级别）。现有功能类似于脚本中可用的命令。详细信息

　　数据恢复 ...用于错误删除的文件或通常在数据丢失之后。可以手动操作或自动操作。FAT12，FAT16，FAT32和NTFS驱动器有一个非常简单的自动数据恢复模式（“按名称保存文件”），该模式仅需要指定一个或多个文件名掩码（例如* .gif，Peter *。 doc等）。然后由WinHex完成其余工作。此外，通过FAT驱动器访问开关可用的机制可以复制整个嵌套目录结构。），以及另一种（“按类型保存文件”），该文件可以与任何文件系统一起使用，并且可以一次还原特定类型的所有文件（受支持的文件类型：jpg，png，gif，tif，bmp，dwg，psd， rtf，xml，html，eml，dbx，xls / doc，mdb，wpd，eps / ps，pdf，qdf，pwl，zip，rar，wav，avi，ram，rm，mpg，mpg，mov，asf，mid）。ESP。数码相机的所有者经常在使用的媒体上遇到问题。借助WinHex中的此内置功能，您将有机会再次看到图片，因为此功能存在所谓的文件头（每个文件开头的特征签名）。其他| 磁盘工具| 恢复文件

　　犯罪学计算机调查/计算机取证

　　WinHex是网络犯罪调查人员，专家和专家，私营公司和执法机构手中的宝贵工具。

　　可信下载/可靠的数据导出

　　如果要将未分类的资料从安全级别的磁盘复制到未分类的磁盘，则必须确保复制的文件不会盲目地复制其闲置空间中的数据（集群开销），因为从将群集分配给另一个文件以来，这可能是机密数据或机密数据。命令工具| 专业工具| 可信下载仅将文件复制到当前大小，而不是整个扇区或群集。文件末尾没有一个字节被复制到目标卷。需要专家许可。

　　128位加密

　　使他人无法辨认文件。编辑 转换

　　校验和/摘要计算

　　以确保文件未被损坏或篡改，或识别已知文件。其他| 计算哈希。

　　出于各种（例如模拟）目的生成伪随机数。编辑 填写文件

　　X-Ways取证和WinHex的核心 是用于文件，磁盘和RAM的十六进制编辑器，其周围有许多专用的取证功能，这些特征使WinHex成为用于计算机磁盘的强大分析工具：提取可用磁盘空间，空闲空间，分区间空间和文本；从所有现有和已删除的文件和目录，甚至备用数据流（NTFS）创建驱动器内容表；贝茨编号文件等等。WinHex还用作克隆和映像软件，可以创建真实的副本（包括松弛空间），并且可以复制大多数磁盘类型，并支持任何大小的驱动器和文件（对于NTFS，甚至是TB）。

　　X-Ways法医和WinHex 可以本地解释和显示FAT，NTFS，Ext2 / 3，Reiser，CDFS，UDF和图像文件上的目录结构。安全地从硬盘，存储卡，软盘，ZIP，JAZ，CD，DVD等还原文件。WinHex结合了各种自动数据恢复机制和方便的方法来手动恢复数据。WinHex提供了复杂，灵活，快速的并行搜索功能，使您可以搜索整个卷或图像文件（包括松弛空间，已删除文件和隐藏数据）。通过访问物理磁盘，即使操作系统无法识别分区，也可以做到这一点。

　　磁盘编辑器，文件编辑器，RAM编辑器

　　WinHex是高级的二进制编辑器，可让您访问计算机中的所有文件，群集，扇区，字节，半字节和位。它几乎支持无限的文件和卷，最大容量可达TB级（数千GB！）。对内存的需求很小。访问速度非常好。

　　FAT，NTFS，Ext2 / Ext3，ReiserFS，CDFS / ISO9660，UDF的目录浏览器

　　目录浏览器与Windows资源管理器（右侧列表）一样易于使用。它列出了现有文件和已删除文件以及所有详细信息的目录。它使显示群集链，使用磁盘编辑器导航到文件和目录以及从磁盘复制文件成为可能。由于其对本机文件系统的支持，它还可以与未在Windows中作为驱动器加载的图像文件和分区一起使用！

　　DOS和Windows下的磁盘克隆/磁盘映像

　　WinHex可以将大多数媒体类型逐个扇区地复制到其他介质（克隆，重复，镜像）或图像文件中。这些副本是“法医完美无缺”的，它们都包含松弛空间和可用驱动器空间。这对于司法鉴定非常重要，因为它允许您处理原始卷的副本。可以选择将图像文件压缩或拆分为独立的小段。WinHex可以创建日志文件，以跟踪克隆期间发现的每个损坏的扇区，而不必不断单击错误消息。所有可读数据都将传输到副本。

　　此外，WinHex包括一个用于克隆硬盘驱动器的基于DOS的程序。大多数Windows环境无需询问即可访问新连接的驱动器。例如，某些文件的最后访问日期已损坏。在DOS下克隆原始文件时可以避免这种情况。需要专家或法医许可证。 X-Ways副本

　　数据恢复

　　借助其高级磁盘编辑器，WinHex不仅可以实现有针对性的手动文件恢复。WinHex还可以自动抢救文件，甚至可以抢救整个嵌套目录结构。集成了多种数据恢复方法：

　　1.“按名称保存文件”：只需输入一个或多个文件过滤器（如* .gif，Meier * .doc等），然后由WinHex完成其余操作。适用于FAT12，FAT16，FAT32和NTFS。

　　2.“按类型保存文件”：WinHex抢救可以由特定文件头签名识别的所有文件（例如JPEG文件，MS Office文档）。这实际上适用于任何文件系统。

　　3.使用上述目录浏览器，可以方便并有选择地还原列出的文件和目录。

　　4.通过访问菜单开关可以为FAT和NTFS驱动器提供特殊的救援模式。

　　恢复分区/启动记录

　　使用WinHex，您可以编辑FAT12，FAT16，FAT32和NTFS引导扇区以及带有自定义模板的分区表。

　　取证安全删除硬盘

　　WinHex用零字节填充硬盘的每个扇区（字节序列可以任意确定，甚至可以随机选择）。您可以根据需要多次重复以零字节覆盖硬盘（以实现最大的安全性）。此方法将清除硬盘驱动器上文件，目录，病毒，专有和诊断分区的所有痕迹，并留下“临床上”干净的硬盘驱动器。它符合美国国防部发布的DoD 5220.22-M安全数据擦除标准

　　此外，使用WinHex可以安全地删除单个文件或仅删除硬盘的未使用空间。另外，可以在克隆目标磁盘之前用特定的字节模式填充扇区，例如ASCII字符串“坏扇区”。这使得容易识别在克隆期间无法覆盖的硬盘部分，因为无法读取原始扇区（因为它们在物理上被损坏）或原始硬盘较小。（或者，不可读的扇区可以作为填充有零的扇区写入目标硬盘）

　　提取单据存储

　　从目标文件中的FAT12，FAT16，FAT32和NTFS操作系统收集松弛空间（文件实际结束后，集群链的最后一个集群中的未使用字节）。每次出现松弛空间时，都会以换行符和在其中找到簇的编号开头。然后，此信息将另存为ASCII文本。WinHex无法捕获在文件系统级别压缩或加密的文件的松弛存储。此功能需要专家许可。

　　提取可用内存

　　循环浏览当前打开的逻辑驱动器，并将所有未使用的群集收集到您指定的目标文件中。这对于检查尚未安全删除的先前存在文件中的数据片段很有用。没有对正在检查的驱动器进行任何更改。目标文件必须存储在另一个驱动器上。此功能需要专家许可。

　　提取分区间隙

　　捕获不属于目标文件中任何分区的物理磁盘的存储区域。因此，可以快速检查是否有隐藏的东西或是否保留了较早分区的内存。需要专家或法医许可证。

　　提取文字

　　此功能可根据您指定的参数识别文本，并捕获文件，磁盘或内存区域中所有出现的内容，并将它们写入新文件。这种类型的过滤器可用于显着减少例如以下情况下要评估的数据量：例如，在取证计算机分析中，寻求文本形式的提示（例如电子邮件，文档）。目标文件可以很容易地分解为自定义大小。此功能还可以应用于具有累积的松弛或可用内存的文件，以及专有格式的损坏文件，该格式无法由关联的应用程序（例如MS Word）打开。需要专家或法医许可证。

　　创建驱动器内容表

　　创建所有现有和/或跟踪的已删除文件和目录的“目录”。它收集用户配置的信息，例如文件属性，所有可用的日期和时间，大小，占用的群集，哈希值（校验和或摘要），备用数据流（仅包含NTFS驱动器的ADS包含隐藏数据）等。这对于系统地检查卷的内容非常有用。搜索也可以通过掩码中的信息（例如* .jpg; *。Gif）限制为某种类型的文件。可以从数据库或MS Excel导入结果表并重新使用。按日期排序 时间很好地概述了什么时间使用了什么卷。NTFS属性“已加密”可以是例如。例如，您可以快速提供最重要的线索，以了解哪些文件对法医分析很有趣。

　　媒体详细信息报告

　　显示有关活动卷或文件的信息。该信息可以被复制，例如。例如在报告中。在物理磁盘上可以找到非常详细的信息，其中列出了有关每个分区的详细信息以及与没有分区相关联的所有内存间隙。需要专家或法医许可证。

　　将图像解释为体积

　　将打开的活动映像文件作为逻辑驱动器或物理磁盘进行处理。例如，如果您要检查磁盘映像的内容，从文件系统中提取单个文件等等，而无需在磁盘上重播映像，则此功能很有用。当解释为物理磁盘时，WinHex可以打开映像中包含的分区，就好像它们是“真实”物理磁盘一样。WinHex甚至可以解释跨文件图像，即由任意大小的单个段组成的图像文件（所谓的“跨度图像文件”）。为了使WinHex识别跨文件图像，第一段应具有任何名称和非数字名称扩展名，或扩展名“ .000”。第二段必须具有相同的基本文件名，但扩展名是“ .001”，第三段必须是“ .002”，依此类推。用于DOS的磁盘克隆程序X-Ways Replica可以在这种分段中创建磁盘映像。这很有用，因为FAT16和FAT32支持的最大文件大小为2GB或4GB。在这种分段中创建磁盘映像。这很有用，因为FAT16和FAT32支持的最大文件大小为2GB或4GB。在这种分段中创建磁盘映像。这很有用，因为FAT16和FAT32支持的最大文件大小为2GB或4GB。需要专家或法医许可证。

　　资料库

　　使用此工具，您可以双向转换所有整数和浮点数据类型，数据格式，汇编程序操作码以及其他数据类型

　　资料分析

　　此功能可以。B.用于分析未知性质的数据。

　　二进制/全文搜索

　　使用WinHex，您可以搜索隐藏在十六进制，ASCII，EBCDIC拼写或常规文本段落中的所有可想象的数据。可以选择WinHex是在每次出现搜索数据时暂停还是应该将所有找到的数据写入报告中。这样可以自动搜索大型数据库。例如，这在刑事调查中搜索某些关键字时很有用。根据要求，可以忽略读取错误，这对损坏的数据载体尤其有用。WinHex的搜索功能可搜索整个存储区，滑动存储以及擦除后释放的存储。

　　平行搜寻

　　此功能使您可以通过一次搜索硬盘驱动器来选择多个搜索词。搜索结果显示在位置管理器中，或存档在制表符分隔的文本文件中，可以由MS Excel或任何数据库直接进行进一步处理。WinHex存储

　　在其中找到搜索词的偏移量

　　在搜索词本身中

　　在其中找到搜索词的文件名或数据载体的名称

　　如果在逻辑驱动器上检测到搜索项，则甚至可以保存群集的分配。（例如，存储在特定偏移量中的文件的名称和路径）