LNK Files
1. 记录内容:
a. LNK文件，通常称为快捷方式文件，是Windows中的一种特殊文件类型，用于指向另一个文件或目录的路径。
b. 它们包含许多有用的信息，例如目标文件的路径、创建和访问时间、图标位置、以及有时候的网络位置和卷标序列号。
2. 取证意义:
a. LNK文件在取证分析中非常有用，因为它们能提供用户活动的线索，比如用户打开过哪些文件或程序。
b. 这些文件的时间戳（如创建时间和最后访问时间）可以帮助确定文件被访问或修改的时间框架。
3. 举例说明:
a. 假设调查人员正在研究一起数据泄露事件，他们在嫌疑人的计算机上发现了指向敏感数据文件的LNK文件。这些LNK文件的时间戳可以显示出嫌疑人最后一次访问这些数据的时间，从而为调查提供关键线索。
Jump Lists
1. 记录内容:
a. 跳转列表（Jump Lists）是Windows 7及更高版本中的一个功能，提供了最近或频繁访问的项目的快速访问路径。
b. 它们保存了诸如最近打开的文件、访问的网站以及执行的任务等信息。
2. 取证意义:
a. 跳转列表可提供用户活动的历史记录，这在取证调查中极为重要，尤其是在需要重建用户行为或确定文件访问模式的情况下。
b. 它们还可以揭示用户的使用习惯和趋势，例如经常使用的应用程序和访问的文件。
3. 举例说明:
a. 在一起商业欺诈案件中，取证专家可能会检查跳转列表来确定嫌疑人是否经常访问特定的财务记录或文档。如果跳转列表显示了频繁访问这些文档的证据，这可能表明嫌疑人与欺诈行为有关。
在取证分析中，LNK文件和跳转列表的重要性在于它们能提供系统中过去用户活动的详细记录，这对于重建事件的时间线、理解用户行为或揭露潜在的不当行为都非常关键。
LNK Explorer
JumpList Explorer
