用途：分析 Windows LNK 快捷方式文件与 Jump List 跳转列表，建立文件访问、程序执行和用户活动的取证证据。LNK 文件在用户通过资源管理器或打开/保存对话框访问文件时自动生成，保存目标路径、时间戳、卷序列号、NetBIOS 名称与 MAC 地址等元数据；Jump List 自 Windows 7 起按应用维护最近和频繁访问的文件列表。这些痕迹在目标文件被删除后仍可能保留。
主要能力：解析 LNK 的 Shell Link 头（76 字节，HeaderSize 固定为 0x0000004C），提取目标文件创建/访问/修改时间、卷信息、UNC 网络共享路径、TrackerDataBlock 中的机器标识与分布式链接跟踪信息；解析自动目标（automaticDestinations-ms，OLE 复合文件，按 AppID 哈希区分应用）与自定义目标（customDestinations-ms，用户固定项）两类 Jump List。
使用方式：需准备 LECmd、JLECmd、Python 3.8+（pylnk3 或 LnkParse3）及取证镜像。常用命令：LECmd.exe -d "...\Recent" --csv C:\Output --csvf lnk_analysis.csv；JLECmd.exe -d "...\AutomaticDestinations" --csv C:\Output --csvf jumplists_auto.csv。也可用 Python 解析头部字段与 FILETIME 时间。
适用场景：确认文件访问、可移动介质使用（盘符与卷序列号）、网络共享活动，并与 MFT、USN Journal 交叉验证。
限制：Windows 11 生成的 LNK 与 Jump List 痕迹与 Windows 10 存在差异，部分 UWP/MSIX 应用不生成传统 Jump List；具体效果与兼容性以实际环境为准，资料未提供更多细节。