用途：分析 Windows LNK（快捷方式）文件与 Jump List 痕迹，建立文件访问、程序执行和用户活动的证据。LNK 文件在用户通过资源管理器或打开/保存对话框访问文件时自动生成，保存目标文件原始路径、时间戳、卷序列号、主机 NetBIOS 名与 MAC 地址等元数据；Jump List 自 Windows 7 起按应用维护最近和频繁访问的文件列表。这些痕迹在目标文件被删除后仍可能保留。
主要能力：解析 LNK 与 Jump List 并导出 CSV/JSON；提取目标文件创建、访问、修改时间，卷信息（序列号、驱动器类型、卷标），网络共享信息（UNC 路径、共享名），机器标识（NetBIOS 名、MAC 地址），以及分布式链接跟踪的机器 ID 与对象 GUID。
使用方式：需准备 LECmd、JLECmd、Python 3.8+（pylnk3 或 LnkParse3）、Windows 取证镜像或分类收集，以及 Timeline Explorer 分析 CSV。常用命令：LECmd.exe -d "C:\Evidence\Users\suspect\AppData\Roaming\Microsoft\Windows\Recent" --csv C:\Output --csvf lnk_analysis.csv；JLECmd.exe -d "...\Recent\AutomaticDestinations" --csv C:\Output --csvf jumplists_auto.csv。LNK 常见位置包括 Recent、Desktop、Start Menu 和 Office\Recent。Jump List 分 AutomaticDestinations（OLE 复合文件，按 AppID 哈希命名）与 CustomDestinations（固定项，含顺序 LNK 条目）。
适用场景：安全事件调查、检测规则与威胁狩猎查询构建、SOC 结构化分析流程、验证相关攻击技术的监控覆盖；也可用于识别可移动介质访问（E:、F:、G: 盘符与卷序列号）、网络共享活动（UNC 路径与 NetBIOS 名）。
限制：资料提到 Windows 11 与 Windows 10 的痕迹存在差异，某些文件类型生成的自动 LNK 更少，现代应用 Jump List 行为改变，UWP/MSIX 应用可能不生成传统 Jump List，快速访问替代了部分最近功能。具体版本差异与效果需以实际环境为准。