foremost

  • shadowexplorer：浏览Windows Vista/7/8/10卷影复制服务创建的卷影副本。
  • pasco：检查Internet Explorer缓存文件的内容以供法医检查
  • pdfresurrect：旨在分析PDF文档的工具。
  • secure2csv：在NTFS上以$Secure格式解码安全描述符。
  • tchunt-ng：显示存储在文件系统上的加密文件。
  • ms-sys：编写win9x-.Linux下的主引导记录（MBR）-RTM！
  • regrippy：用于从Windows注册表配置单元读取和提取有用的取证数据的框架。
  • indxcarver：从一块数据中雕刻INDX记录。