Foremost — Carving de fichiers par en-têtes

Usage

Foremost récupère des fichiers à partir de leurs en-têtes, pieds de page et structures internes, indépendamment du système de fichiers. Idéal pour images, documents et archives sur un disque formaté ou un dump.

Commandes

# Carving ciblé par type
foremost -t jpg,png,pdf,doc,zip -i disk.dd -o out/

# Tous types supportés
foremost -i disk.dd -o out/

# Le rapport audit.txt liste les fichiers récupérés + offsets

Config

# /etc/foremost.conf : ajouter des signatures custom
# nom  ext  taille_max  header(hex)  footer(hex)
# Exemple flag CTF custom :
# flagfile txt 200 \x46\x4c\x41\x47