用途：从取证磁盘镜像或存储设备中恢复已删除文件，尤其适用于文件系统损坏、被格式化或覆盖、元数据不可用但原始数据扇区仍完整的情况，也可用于存储卡、U 盘和硬盘。
主要能力：PhotoRec 是 TestDisk 套件中的开源文件雕刻工具，支持 300 多种文件格式，依据文件头尾签名从原始扇区恢复文件，不依赖文件系统。可交互选择分区表类型、分区、文件系统类型和扫描范围（Free 仅未分配空间或 Whole 整个分区），也可用命令行模式按文件类型定向恢复，如文档、图片、数据库等。
使用方式：先安装 TestDisk（Debian/Ubuntu 用 sudo apt-get install testdisk，RHEL/CentOS 用 sudo yum install testdisk，macOS 用 brew install testdisk），用 photorec --version 验证。对镜像运行 photorec /cases/case-2024-001/images/evidence.dd 进入交互菜单；命令行示例：photorec /d /cases/case-2024-001/recovered/documents/ /cmd /cases/case-2024-001/images/evidence.dd options,keep_corrupted_file,enable fileopt,everything,disable fileopt,doc,enable fileopt,docx,enable fileopt,pdf,enable fileopt,xlsx,enable search。恢复结果输出到 recup_dir.1 等目录，可按扩展名分类、生成 SHA-256 哈希、用 file 校验签名、用 hashdeep 与 NSRL 比对过滤已知文件，并删除空文件。
适用场景：嫌疑人 U 盘取证、格式化硬盘恢复、监控摄像头存储卡视频恢复、证据盘文件系统损坏时的原始扇区雕刻。
限制：恢复的文件名和目录结构会丢失；碎片化文件难以完整恢复；可能产生误报或损坏文件；需要足够输出空间、只读访问和写阻断器；直接访问设备通常需要 root/sudo 权限。资料未提供收费、价格或平台支持等更多信息。