取证工具－Foremost
要在 CentOS/RHEL 7 中安装 Foremost，需要首先启用 Repoforge：
rpm -Uvh http://pkgs.repoforge.org/rpmforge-release/rpmforge-release-0.5.3-1.el7.rf.x86_64.rpm
yum install foremost
然而在 Debian 及其衍生系统中，需这样做：
aptitude install foremost
安装完成后，我们做一个简单的测试吧。首先删除 /boot/images 目录下一个名为 nosdos.jpg 的图像文件：
# cd images
# rm nosdos.jpg
要恢复这个文件，如下所示使用 foremost（要先确认所在分区 - 本例中， /boot 位于 /dev/sda1 分区中）。
# foremost -t jpg -i /dev/sda1 -o /home/gacanepa/rescued
其中，/home/gacanepa/rescued 是另外一个磁盘中的目录 － 请记住，把文件恢复到被删除文件所在的磁盘中不是一个明智的做法。
如果在恢复过程中，占用了被删除文件之前所在的磁盘分区，就可能无法恢复文件。另外，进行文件恢复操作前不要做任何其他操作。
当 foremost 执行完成以后，恢复的文件（如果可以恢复）将能够在目录 ·/home/gacanepa/rescue/jpg` 中找到。
