Windows 取证55 条

LNK 快捷方式文件分析

LNK 文件携带目标路径、卷序列号、MAC 时间等多层信息：常出现在 Recent 与临时目录，是文件访问的关键痕迹。

用途	访问对象与介质还原
字段	目标路径 / 卷信息 / 创建访问写入时间

解析

LECmd.exe -d C:/Users/user/AppData/Roaming/Microsoft/Windows/Recent --csv out/

卷序列号可用于关联 U 盘等可移动介质使用史。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌