Windows 取证55 条

LNK 与 JumpList 的时间戳

LNK 文件头内嵌目标的访问/修改/创建时间与 LNK 自身创建时间，JumpList 记录应用访问文件的痕迹，两类都能支撑文件与目标主机的关联分析。

取证与溯源速查安全更新于 2026-10-12

LNK 位置	%APPDATA%\Microsoft\Windows\Recent
JumpList	AutomaticDestinations 目录下自动维护

采集与解析

Get-ChildItem "$env:APPDATA\Microsoft\Windows\Recent" -Filter *.lnk | Select-Object -First 5 Name, LastWriteTime
LECmd.exe -d "%APPDATA%\Microsoft\Windows\Recent" --csv C:\out\lnk

LNK 内嵌时间取自目标文件系统快照，和当前目标状态不一致时以场景解释。

易错点

用户清理 Recent 会一并删除 LNK
JumpList 文件为容器格式，需专用工具解析

数据来源与参考

LECmd 官方文档（Eric Zimmerman）
Microsoft Learn（JumpList 结构）

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌