LNK 快捷方式文件分析是什么
LNK 快捷方式文件携带目标路径、卷序列号与三组时间戳等多层信息，常见于用户的 Recent 目录与临时目录。它是文件访问痕迹的关键来源：能还原访问了哪个文件、来自哪个卷，并串联出可移动介质的使用史。
基本信息
| 适用平台 | Windows，每个用户各有一份 Recent 目录 |
|---|---|
| 关键字段 | 目标路径、卷信息与序列号、创建与访问及写入时间 |
| 常见位置 | Recent 目录、桌面、临时目录、启动目录 |
| 解析工具 | LECmd（Zimmerman 工具集） |
典型使用场景
- 还原用户访问过的文件与完整路径
- 通过卷序列号关联可移动介质使用史
- 发现访问过的网络共享路径
- 判断某文件是否来自外部介质
- 与其他痕迹联合构建访问时间线
- 统计卷序列号的出现频次，定位使用过的可移动介质
- 按目标路径的目录归类，找出访问过的可疑目录
解析
解析
LECmd.exe -d C:/Users/user/AppData/Roaming/Microsoft/Windows/Recent --csv out/
LECmd.exe -f "C:/path/to/file.lnk" --json out/ # 单文件解析
# 输出含目标路径、卷序列号、网络共享信息与三组时间戳字段读法
| 字段 | 含义 | 注意 |
|---|---|---|
| 目标路径 | 快捷方式指向的文件 | 可能指向本地或网络路径 |
| 卷序列号 | 目标所在卷的标识 | 用于关联可移动介质 |
| 快捷方式自身时间 | 创建与访问等时间戳 | 与目标文件时间不是一回事 |
| 目标文件时间 | 被指向文件的时间信息 | 由目标文件带入，非访问时刻 |
LNK 内的时间戳语义要分清：其中一部分来自目标文件本身，并不代表快捷方式被打开的时刻。
指向网络路径的快捷方式会暴露共享位置与账号映射关系，横向排查时可以据此找出访问关联。
同一目标可能对应多个快捷方式（不同用户或不同存放位置），汇总时先按目标路径合并，再统计次数与时间。