用途：该技能面向安全事件调查与取证分析，用于解析 Windows LNK（快捷方式）文件与 Jump List（跳转列表）痕迹，证明文件访问、程序执行与用户行为。LNK 文件在通过资源管理器或打开/保存对话框访问文件时自动生成，保存目标路径、时间戳、卷序列号、主机 NetBIOS 名与 MAC 地址等元数据；Jump List（Windows 7 引入）按应用维护最近/频繁访问列表。二者在目标文件删除后仍保留。
主要能力：解析 LNK 头部（76 字节 Shell Link Header）、LinkFlags、文件属性、FILETIME 创建/访问/写入时间、目标大小、卷信息、UNC 网络共享、TrackerDataBlock 中的 NetBIOS 与 MAC、Distributed Link Tracking 机器 ID 与对象 GUID。解析 AutomaticDestinations 与 CustomDestinations 跳转列表，并可按 AppID 关联应用（如资源管理器、记事本、Edge、Office 等）。
使用方式：先准备 LECmd、JLECmd、Python 3.8+（pylnk3 或 LnkParse3）、取证镜像或分类收集数据及 Timeline Explorer。常见命令示例：LECmd.exe -d "...\Recent" --csv C:\Output --csvf lnk_analysis.csv；JLECmd.exe -d "...\AutomaticDestinations" --csv C:\Output --csvf jumplists_auto.csv。默认 LNK 位于 %USERPROFILE%\AppData\Roaming\Microsoft\Windows\Recent\ 等路径。可编写 Python 脚本解析头部字段与 FILETIME 转换。
适用场景：文件访问举证（并与 MFT、USN Journal 交叉验证）、可移动介质使用（盘符、卷序列号）、网络共享访问（UNC 路径、NetBIOS 名）、SOC 分析与检测规则、威胁狩猎查询、监控覆盖验证。
限制：需合法授权与取证规范；LNK 元数据可能不完整或被篡改；Windows 11 与 Windows 10 产物存在差异（自动 LNK 减少、跳转列表行为改变、UWP/MSIX 可能不生成传统跳转列表、快速访问替代部分 Recent 功能）。官方资料未提供该技能的具体收费、平台与更新信息。