LNK

LNK（Shortcut File） 是 Windows 常見的「捷徑檔」。

例如桌面上的：

Chrome.lnk
report.docx.lnk

點擊捷徑後，Windows 就可以找到對應的檔案或程式。

LNK 裡有什麼？

LNK 不只是存一個「捷徑」。

它可能包含：

• Target Path

• Target File Size

• Target File Timestamps

• Volume Information

• MAC Address

• Machine ID

• Shortcut Creation Time

• Shortcut Modification Time

• Shortcut Access Time

例如：

report.docx.lnk
       │
       ├── Target Path
       │     └── C:\Users\Alice\Documents\report.docx
       │
       ├── File Size
       ├── Timestamps
       └── Volume Information

因此即使原本的：

report.docx

已經被刪除，相關的 LNK 有時仍然可能留下線索。

Jump Lists

如果在 Windows 工作列上對某些程式按右鍵，可能會看到：

Chrome
├── Recent
├── Frequent
└── ...

這些就是 Jump Lists 可以呈現的內容。

Jump Lists 的用途原本是讓使用者更快速存取最近或常用的項目。

但從鑑識角度來看， 這些「最近使用過的項目」也可能成為使用者活動的線索。

不同程式產生的 Jump List 內容會有所不同。

可能包含：

• 最近使用的檔案

• 常用檔案

• 檔案路徑

• 使用的程式

• 部分時間資訊

Shellbags

Windows Explorer 在處理資料夾檢視設定時，會留下相關資訊。

這些資訊就可能形成 Shellbags。

例如使用者曾經瀏覽：

C:\Users\Alice\Documents

接著又進入：

C:\Users\Alice\Documents\Secret

Shellbags 可能留下與這些資料夾相關的資訊。

因此即使某個資料夾現在已經不存在，相關的 Shellbags 資訊有時仍可能提供線索。

小結