WinHex、Hex Workshop、XVI32 等十六進制編輯器不僅能修復檔案、恢復資料，更是被低估的安全審計工具。善用它可發現常規掃描器遺漏的洩漏與殘留。

四大實戰場景

1. 掃描記憶體中的明文密碼與 Token

• 瀏覽器、郵件用戶端、VPN 客戶端關閉後，記憶體常殘留帳號、密碼、Session ID、OAuth Token。
• WinHex →「工具」→「打開記憶體」→ 搜尋關鍵字（password、Authorization、Bearer、Base64 特徵）。
• 公共電腦/共用主機風險極高，建議登出後執行 Rundll32.exe advapi32.dll,ProcessIdleTasks 或重開機清空。

2. 檢查分頁檔與休眠檔

• pagefile.sys、hiberfil.sys 內含記憶體分頁內容，可能保留敏感資料。
• 關機時清除分頁檔：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\ClearPageFileAtShutdown = 1。
• WinHex 開啟實體磁碟/分頁檔搜尋信用卡號、身分證、金鑰等正則模式。

3. 偵測記憶體駐留惡意代碼

• Rootkit、無檔案惡意碼（如 PowerShell/Reflective DLL Injection）僅存在記憶體。
• 對比已知惡意 Shellcode 特徵（如 0x90 NOP sled、\xEB\xFE 短跳、Meterpreter 特徵字串）。
• 結合 Volatility/WinDbg 進行記憶體取證更完整。

4. 稽核文件中繼資料與隱藏內容

• Office 文件（docx/xlsx/pptx 實為 ZIP）含作者、修訂紀錄、批註、隱藏工作表。
• Word 選項「儲存時從檔案屬性移除個人資訊」常被忽略。
• WinHex 搜尋 author、lastModifiedBy、comment 等關鍵字，發現未清理的機敏資訊。

工具選擇與注意事項

工具	特色
WinHex	功能最全：磁碟/記憶體/RAID/虛擬映像、資料恢復、腳本自動化
Hex Workshop	介面友善、結構化模板、資料視覺化
XVI32	免費、輕量、支援大檔案、無安裝
HxD	免費、介面現代、支援記憶體編輯、校驗和

警告：十六進制編輯器可直接修改磁碟/記憶體，操作失誤導致系統損壞、資料遺失。務必先備份、於隔離環境練習、生產機謹慎寫入。