Как - Foremost восстанавливает файлы?

Используя карвинг.
"Например, файлы ZIP обычно начинаются с «PK», за которым следуют двоичные данные в предопределенном формате. Анализируя эти двоичные данные, «carving»-алгоритм может определить, является ли это «PK» началом ZIP-файла (если все числа совпадают) или это просто пара символов в текстовом документе – таком, как этот .
Если алгоритм подтверждает принадлежность подписи фактическому файлу, программа начнет анализировать заголовок файла. Анализируя заголовок, инструмент восстановления данных может рассчитать исходную длину файла. Зная начальный адрес файла на диске и его длину, программа может узнать, какие секторы диска используются данными этого файла, прочитать их и собрать исходный файл."