老牌签名恢复：Foremost 开源按文件头尾捞回 Linux 数据

Foremost 是取证圈用了很多年的开源恢复程序，思路朴素却可靠：按文件头尾的签名，在原始磁盘或镜像里把 JPEG、文档、压缩包等一块块切回来。它纯命令行、跨 Unix 系，常在应急恢复和取证里出场。对习惯终端的用户，它是那种”配置好类型、跑完等结果”的稳工具，适合从损坏或误删的盘里批量淘文件，关键时刻不掉链子，也是取证箱里的常备件。

它解决什么问题

文件系统坏了，目录树读不出，但盘上还有数据。

要从镜像按类型批量提取残留文件做分析。

图形恢复工具不可用，需要纯命令行方案顶上。

核心能力

它把恢复简化成”照签名在字节流里切蛋糕”

Foremost 不读文件系统目录，而是扫原始字节流，用每种格式的头尾签名（如 JPEG 的起始与结束标记）界定一块数据的边界，把符合条件的块写成文件。这让它即便在文件系统损坏、目录全无时仍能工作，特别适合镜像分析和灾备恢复。配置文件里能调识别类型与尺寸上下限，因此可控性不错。对命令行用户，它是那种”交出去就能跑完”的可靠老工具，常与 Scalpel 思路并列，在应急恢复现场很常见，值得收进工具箱。

红线别忘：动手前把原盘做成只读镜像并停止写入，结果必须写到另一块盘或镜像之外，绝不可落回原盘；这类工具只用于你有权限的设备，无权访问的存储不能碰。能恢复多少取决于覆盖——未覆盖的块能切回，频繁写入后只剩碎片甚至全无。物理损坏、安全擦除、加密覆盖它也救不了。它是签名恢复的经典实现，日常误删的易用度不如图形工具，专业场景才显价值。先拿废盘试一遍再上真盘，心里有底。补充：配置文件里能设文件尺寸上下限，过滤太小的碎片可提速；输出按扩展名归类，找回后先抽样打开确认没坏再批量采用。它是应急箱里的老伙计，和 Scalpel 互为备胎，哪个顺手用哪个，但都别忘了只读镜像这第一步。

同类工具怎么选

谁适合用

• 需要在终端做恢复的运维
• 从镜像按类型提取文件的取证者
• 只用命令行、要稳工具的进阶用户

怎么开始

1. 误删后立刻停写，给原盘做只读镜像。
2. 配置要恢复的类型与输出目录。
3. 对镜像运行 foremost，等扫描结束。
4. 到输出目录按扩展名翻找回的文件。
5. 校验完整性，确认后再处置原盘。
6. 把常用参数记成脚本，下次一条命令搞定。

常见问题

真能恢复吗？
能，针对未被覆盖的块按签名切回；越早停写淘到的越多。

能恢复多少？
看残留块：刚删未写可找回大量，长期使用的盘常只剩碎片。

什么时候救不回来？
遭安全擦除、物理损坏或加密覆盖，块被新数据盖住时基本无望。

能写回原盘吗？
不能。输出必须到另一块盘或镜像外，写回会覆盖待救数据。

授权与合规

Foremost 以开源协议发布，源码公开，可自由使用与修改。本工具仅用于你有权限的存储设备，恢复前先把原盘做成只读镜像。 官网：foremost.sourceforge.net。

继续找同类资源

这条属于「系统相关」栏目，同栏目还有更多可直接使用的免费资源，可以在 系统相关全部资源 里按需翻阅。

相关资源

同栏目下这几条也常被一起翻到：

• 分区调整不用重装：GParted Live 开源免费，从 U 盘启动就能改分区
• 开始菜单想改就改：Open-Shell 开源免费，经典风格回来了
• Grml 急救 Live： Debian 底子的终端救援盘，进不去系统就靠它
• 刻录启动盘别再选错盘：Etcher 开源免费，三步搞定还防误操作