平常在 Windows 工作列上對一個程式按右鍵，通常會看到最近開啟的檔案或釘選的項目。

像 Word 可能會顯示最近使用過的文件，PDF Reader 也可能列出近期開啟的 PDF。這些紀錄背後，就和 Jump List 有關。

Jump List 主要用來保存特定 Application 最近使用過的檔案，以及釘選的項目。

所以如果今天想知道：

使用者最近透過 Word 開過哪些文件？

就可以從 Word 對應的 Jump List 往下找。

和單純查看某一個檔案不同，Jump List 是從 Application 的角度出發，整理這個程式近期使用過哪些檔案。

Jump List 在哪裡？

Jump List 會放在使用者目錄下，主要可以看到兩個位置：

C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations

C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations

進到資料夾後，看到的檔名通常不是 Word、PowerPoint 這種直接看得懂的名稱，而是一串識別值。

像這次分析的檔案是：

fb3b0dbfee58fac8.automaticDestinations-ms

前面的 fb3b0dbfee58fac8 就是這份 Jump List 對應的 Application ID（AppID）。

已知的 AppID 可以透過 AppID 對照表確認，用來判斷這份 Jump List 是哪個 Application 留下的。

也可以直接搜尋想找的 Application ，找到對應的 APPID。

用 JumpList Explorer 打開

把 fb3b0dbfee58fac8.automaticDestinations-ms 複製出來，再用 JumpList Explorer 開啟。

載入後，工具會直接辨識出：

App ID
fb3b0dbfee58fac8

App ID Description
Microsoft Word 2016 64-bit

而這份 Jump List 中一共解析出了 106 筆 Entry。

點選想看的 Entry 後，就可以看到 Word 留下的近期檔案紀錄。

左下方的 Path 可以直接看到它指向的文件位置，右側還可以看到 Absolute path 和 LocalPath。

也就是說，Jump List 不只是告訴我們「Word 曾經被使用過」，還可以進一步把 Application 和它曾經使用過的 Target File 關聯起來。

除了 Path，這張圖裡還可以看到幾組很眼熟的資訊。

右側有 Target File 相關的 Timestamp：

TargetCreationDate
TargetModificationDate
TargetLastAccessedDate

和前面分析 LNK 時一樣，這些時間不能直接理解成「使用者開啟檔案的時間」，它們記錄的是 Target File 的時間資訊。

左下方則有 Automatic Jump List 中 DestList Entry 本身的時間資訊：

DestList Created on
DestList Last modified

其中 Last modified 會隨著這筆 Entry 再次被使用而更新，因此在分析最近使用行為時很有價值，而 Created on 不適合直接當成「第一次開啟這個檔案的時間」。

畫面中另外還能看到 Hostname、Interaction count、File droid 和 Volume droid 等資訊。

看到這裡，其實會發現 Jump List 裡有很多資訊都和前面分析的 LNK 很像，差別主要在看的角度。

LNK 是從某一個 Target File 出發，看它留下的 Path、Timestamp、Volume 和主機相關資訊，Jump List 則是先從 Application 出發，再往下看這個程式曾經使用過哪些檔案。

例如今天在 Word 的 Jump List 裡找到一份文件，可以先知道這份文件曾經出現在 Word 的近期使用紀錄中。如果同一個檔案又能在 LNK、$MFT 或其他 Artifact 裡找到，就可以把不同來源的資訊放在一起比對。