Windows Shortcut (LNK)

Format	Windows Shortcut (LNK)
Kurzname	LNK
Kategorie	execution
Plattformen	Windows
Crush Unterstützung	Noch nicht unterstützt
Status	Überprüft
Zuletzt überprüft	2026-10-04

Forensische Relevanz

Windows-Shell-Link-Dateien, die beim Öffnen von Dateien entstehen (Ordner Recent, zuletzt verwendete Elemente in Office) und in Jump Lists enthalten sind. Sie halten Pfad, Größe und MAC-Zeiten des Ziels zum Zeitpunkt des Schreibens fest, außerdem Seriennummer und Typ des Volumes, Namen von Netzwerkfreigaben und oft, im Distributed Link Tracker Block, den NetBIOS-Namen des Rechners und seine MAC-Adresse (in den GUIDs der Version 1). Belege für Dateien und Volumes, die eventuell nicht mehr existieren.

Signaturen

Offset	Hex	ASCII (nicht druckbar als .)	Beschreibung
Offset 0 (0x0)	4C 00 00 00 01 14 02 00 00 00 00 00 C0 00 00 00 00 00 00 46	L..................F	Header-Größe 0x4C und LinkCLSID {00021401-0000-0000-C000-000000000046}

Bekannte Dateiendungen

.lnk

Referenzen

[MS-SHLLINK]: Shell Link (.LNK) Binary File Format, v10.0 (Microsoft) https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-shllink/16cb4ca1-9339-4d0c-a68d-bf1d6cc0f943
Windows Shortcut File (LNK) format (libyal/liblnk) https://github.com/libyal/liblnk/blob/main/documentation/Windows%20Shortcut%20File%20(LNK)%20format.asciidoc
ForensicsWiki — LNK https://forensics.wiki/lnk/

Diesen Eintrag zitieren

Crush-Format-Referenz, „Windows Shortcut (LNK)“. https://kalink0.github.io/crush-forensics/formats/de/lnk/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.

Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden