Disk-Editor
Im Extras-Menü finden Sie die Funktion »Disk-Editor«. Der Disk-Editor ermöglicht es, den Inhalt einer Diskette oder Festplatte ohne Rücksicht auf die Dateistruktur direkt (=sektorweise) einzusehen. Wählen Sie zunächst aus einer Liste mit den auf Ihrem System installierten Laufwerken einen Datenträger aus. Sie können auf einen Datenträger logisch (vom Betriebssystem gesteuert) oder physisch (vom BIOS gesteuert) zugreifen. Auf den meisten Computersystemen können Sie sogar CD-ROMs und DVDs einsehen. Es gibt einen optionalen Roh-Zugriff für optische Laufwerke, der es ermöglicht, von Audio-CDs zu lesen und auch die kompletten 2352-Byte-Sektoren auf Daten-CDs (CD-ROM und Video-CDs), die Fehlerkorrektur-Informationen enthalten.
Logisches Laufwerk meint einen zusammenhängenden, formatierten Teil eines Datenträgers (eine Partition), der unter Windows als Laufwerksbuchstabe zugänglich ist (z. B. »C:«). Zum Öffnen erfordert WinHex, daß Windows auf das Laufwerk zugreifen kann. Physischer Datenträger hingegen ist ein Medium als Ganzes, wie es an den Computer angeschlossen ist, z. B. eine Festplatte incl. aller Partitionen. Der Datenträger braucht zum Öffnen in WinHex normalerweise nicht formatiert zu sein.
Gewöhnlich ist es vorteilhafter, ein logisches Laufwerk statt eines physischen Datenträgers zu öffnen, weil dann mehr Features zur Verfügung stehen. Beispielsweise sind »Cluster« vom Dateisystem definiert, die Zuordnung von Clustern zu Dateien (und umgekehrt) ist WinHex bekannt, »freier Speicher« und »Schlupfspeicher« haben eine Bedeutung. Wenn Sie Sektoren editieren möchten, die außerhalb eines logischen Laufwerks liegen (etwa der Master Boot Record), wenn Sie etwas auf allen Partitionen einer Festplatte auf einmal suchen möchten oder wenn eine Partition beschädigt oder mit einem Windows unbekannten Dateisystem formatiert ist, so daß Windows sie nicht als Laufwerksbuchstaben zugänglich macht, empfiehlt es sich, den physischen Datenträger zu öffnen. Von dem Fenster aus, das einen physischen Datenträger repräsentiert, können Sie auch etwaige definierte Partitionen einzeln öffnen, die i. d. R. im Verzeichnis-Browser in diesem Fenster aufgelistet werden, durch Doppelklick. WinHex versteht konventionelle MBR-Partitionierung, GPT (GUID Partition Type), Apple-Partitionierung, Superfloppy-Format, Windows' dynamische Platten, die vom LDM (Logical Disk Manager) verwaltet werden (MBR und GPT) und LVM2 (MBR und GPT) und PC-kompatible BSD-Disklabel. Alle Typen dynamischer Volumes werden unterstützt: simple, spanned, striped und RAID 5. Das Gedrückthalten der Strg-Taste beim Öffnen von Festplatten unterdrückt die Erkennung und spezielle Behandlung von dynamischen Platten und stellt sicher, daß Festplatten so interpretiert werden, als wären sie auf konventionelle Weise partitioniert worden. Einige der vorgenannten Partitionierungstypen werden nur nur Specialist- und forensische Lizenzen unterstützt.
Bitte beachten Sie die folgenden Einschränkungen bzw. Voraussetzungen:
Um auf Datenträger sektorweise zugreifen zu können, sind Administrator-Rechte erforderlich. Unter Windows Vista/7/8 muß man das Programm dazu explizit als Administrator ausführen. Einfach nur als Administrator angemeldet zu sein ist nicht ausreichend.
Auf Netzlaufwerke kann nicht sektorweise zugegriffen werden.
In X-Ways Forensics lassen sich Datenträgersektoren oder Sektoren in interpretierten Image-Dateien prinzipiell nicht editieren, nur in WinHex.
WinHex kann auf CD-R(OM)s und DVDs nicht schreiben.
Unter Windows Vista/7/8 kann WinHex Sektoren nicht schreiben, die in der Partition mit der aktiven Windows-Installation liegen oder in der Partition, von der aus WinHex ausgeführt wird.
Auf Disk schreiben: Entspricht dem Befehl »Speichern« für Dateien und befindet sich an dessen Stelle im Menü. Schreibt die von Ihnen vorgenommenen Änderungen auf den Datenträger. Bitte beachten Sie, daß Sie damit einen äußerst kritischen Eingriff in die Integrität des Datenträgers vornehmen. Sofern die entsprechende Rückgängig-Option eingeschaltet ist, wird von den betroffenen Sektoren vor dem Überschreiben eine Sicherung angelegt. Die Funktion nur in der Vollversion verfügbar.
Hier erfahren Sie etwas über den Aufbau des Master-Boot-Record einer Festplatte, den Sie mit dem Disk-Editor editieren können.