介绍

一个Linux程序。foremost是一种常用的数据恢复工具，用于从媒体设备或二进制文件中恢复已删除或损坏的文件。它可以通过扫描二进制数据并识别文件的特征（依据文件内的文件头和文件尾对一个文件进行分离），从而提取出各种类型的文件，如图像、音频、视频、文档等。

foremost在安全领域中被广泛用于数字取证、恢复文件以及分析媒体设备等任务。它可以帮助安全研究人员从损坏或删除的媒体设备中恢复重要的文件，或者从二进制文件中提取敏感信息。因此，在CTF比赛或其他安全挑战中，foremost可能被用于解决与数据恢复或文件提取相关的题目。

安装

apt install foremost

使用

会个这个命令即可：foremost filename直接指定一个文件进行分析，然后输出到它创建的output文件夹下。

foremost file -o output -o 指定输出的路径

foremost -h发现：

foremost version1.5.7 by Jesse Kornblum, Kris Kendall, and Nick Mikus. $ foremost[-v|-V|-h|-T|-Q|-q|-a|-w-d] [-t <type>] [-s <blocks>] [-k<size>] [-b <size>] [-c <file>] [-o<dir>] [-i <file]

-V - display copyright information and exit 显示版权信息并退出 -t - specify file type. (-t jpeg,pdf ...) 指定文件类型。（-t jpeg，pdf…） -d - turn on indirect block detection (for UNIXfile-systems) 启用间接块检测（对于UNIX文件系统） -i - specify input file (default is stdin) 指定输入文件（默认为stdin） -a - Write all headers, perform no error detection(corrupted files) 写入所有标头，不执行错误检测（损坏的文件） -w - Only write the audit file, do not write anydetected files to the disk 仅写入审核文件，不将任何检测到的文件写入磁盘 -o - set output directory (defaults to output)设置输出目录（默认为输出） -c - set configuration file to use (defaults toforemost.conf)设置要使用的配置文件（默认为forest.conf） -q - enables quick mode. Search are performed on512 byte boundaries.启用快速模式。在512字节边界上执行搜索。 -Q - enables quiet mode. Suppress outputmessages. 启用静音模式。抑制输出消息。 -v - verbose mode. Logs all messages to screen冗余模式。将所有消息记录到屏幕。