用途：当文件系统元数据不可用、磁盘被格式化或擦除，但原始扇区仍含证据时，用 Foremost 按文件头尾签名（magic bytes）从原始镜像或未分配空间中雕刻恢复文件，作为基于文件系统恢复的补充。
主要能力：Foremost 默认支持 jpg、gif、png、bmp、avi、exe、mpg、wav、riff、wmv、mov、pdf、ole（doc/xls/ppt）、zip、rar、htm、cpp、java 等类型；可通过自定义 foremost.conf 增加 docx、xlsx、pptx、sqlite、pst、eml、evtx 等签名。支持 -t 指定类型、-c 指定配置、-v 详细输出、间接模式处理标准输入，并生成 audit.txt 审计报告。Scalpel 是基于 Foremost 的高性能替代工具。
使用方式：安装 sudo apt-get install foremost，用 foremost -V 验证，查看 /etc/foremost.conf。基本命令：foremost -t all -i evidence.dd -o carved/。可先用 mmls 查看分区，再用 blkls -o 2048 evidence.dd > unallocated.dd 提取未分配空间后雕刻。Scalpel 用法：scalpel -c scalpel.conf -o carved/ evidence.dd。
适用场景：从格式化或擦除介质恢复证据、从损坏 PST 恢复邮件、从原始镜像恢复特定文件类型、从 SQLite 数据库恢复财务记录等。
限制：需要原始 dd 格式镜像、足够输出存储（可能大于源）、目标类型的签名知识；碎片化文件、假阳性、slack space 与扇区对齐会影响准确性；雕刻结果需用 file、哈希、EXIF 等进一步校验与编目。