文件雕刻是计算机取证中使用的一种技术，用于从磁盘驱动器或其他存储设备中提取格式化文件或数据，而无需最初创建该文件的文件系统的帮助。可以使用多种不同的方法和算法，但该过程本质上涉及扫描存储设备上的可用数据，然后以某种方式检查该信息是否是文件或包含一些预定义的重要信息。在文件雕刻过程中不存在文件系统，因此需要评估磁盘上的所有信息的上下文，这意味着该过程可能需要很长时间，并且根据存储设备的状态，可能会有成功率低。从具有大量文件碎片的驱动器中雕刻文件非常困难，但也是可能的。成功的文件雕刻的最终结果是重建文件，使其内容nts 完全存在，尽管在某些情况下，如果恢复了足够的相关信息，可接受的结果可能是部分重建的文件。
在某些情况下，无论是由于硬件故障、人为错误还是恶意攻击，存储设备的文件系统并且上面的所有信息都可以被删除。根据删除信息的方式，磁盘本身可能仍包含以前存在的所有信息，但以无序、无组织的字节流形式存在。使文件雕刻成为可能的一种机制是，当许多文件系统从驱动器中擦除文件时，它们不会删除数据，而是将磁盘的该区域标记为可用于新文件。旧数据将保留直至被覆盖，即使在这种情况下，仍有可能恢复。
男子手持g 计算机文件雕刻中使用的一项非常基本的技术涉及逐步浏览磁盘上的信息块以查找文件签名。这些是结构化数据，指示特定类型文件的开始。一个示例是图像文件的开头，其中可能包含图像的宽度和高度以及一些调色板数据。如果找到与文件类型标题完全匹配的数据块，则尝试解释标题后面的数据以查看它是否确实是文件数据。如果成功，这可能会导致原始文件的重建。
文件雕刻中出现的一个复杂情况与碎片化的文件有关，这意味着文件存储在磁盘上的两个或多个不同的物理位置。某些技术不会尝试重建这些类型的文件。其他方法使用文件系统的现有知识来尝试近似文件的其他部分可能的位置被定位，虽然这个过程非常困难。
