01Konum
- C:\Users\<user>\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\*.automaticDestinations-ms
- C:\Users\<user>\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\*.customDestinations-ms
- NTUSER.DAT: Software\Microsoft\Windows\CurrentVersion\Explorer\StartPage2 (ProgramsCacheSMP, ProgramsCacheTBP)
02Yanıtladığı sorular
- Kullanıcı belirli bir uygulamayla hangi dosyaları, hangi yakınlık sırasıyla açtı?
- Her öğe DestList'te en son ne zaman güncellendi?
- Bir öğe sabitlenmiş miydi?
- Hedef hangi ana makinede (NetBIOS adı) ve birimde bulunuyordu?
03Biçim ve sürümler
| Biçim | AutomaticDestinations: DestList akışı (32 baytlık başlık ve girdiler) ile her biri bir LNK içeren onaltılık adlı akışlara sahip OLE Compound File. CustomDestinations: başlık, kategoriler (özel, bilinen KDC_FREQUENT/KDC_RECENT, kullanıcı görevleri) ve gömülü LNK verili shell nesne girdileri; her kategori 0xbabffbab alt imzasıyla kapanır. |
|---|---|
| Geçerli olduğu sürümler | Windows 7 ve sonrası. DestList biçim sürümü 1 Windows 7 için belgelenmiştir; sürüm 3 ve 4 Windows 10 için bildirilmiştir. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| DestList header | Biçim sürümü, girdi sayısı ve sabitlenmiş girdi sayısı. |
| Entry number | Bir DestList girdisini onaltılık adlı LNK akışına bağlar. |
| Droid / birth droid identifiers | Birim ve dosyanın NTFS nesne tanımlayıcıları. |
| Hostname | 16 baytlık ASCII alanında saklanan NetBIOS adı. |
| Pin status | -1 (0xffffffff) = sabitlenmemiş; 0 veya üzeri = sabitlenmiş. |
| Path | Öğenin UTF-16LE yolu. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| DestList entry last modification time | FILETIME (UTC) | Jump List'in girdi başına tuttuğu zaman; LNK akışındaki hedef zamanlarından farklıdır. |
| Embedded LNK header times | FILETIME (UTC) | Bağlantı hedefinin oluşturma, erişim ve yazma zamanları. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Her profil için iki hedef dizinini de toplayın.
- OLE dosyasını ayrıştırın, DestList girdi numaralarını akışlarla eşleyin ve gömülü her LNK'yı ayrıştırın.
- DestList zamanları ve LNK hedef zamanlarından bir zaman çizelgesi oluşturun; sabitlenmiş girdileri işaretleyin.
- Gömülü yolları kullanarak her dosyayı uygulamasına bağlayın ve Prefetch ile UserAssist'le ilişkilendirin.
07Yorum tuzakları
- Bazı DestList alanları (kayan noktalı değerler, olası erişim sayısı) anlaşılmamıştır; bunları olgu olarak raporlamayın.
- Dosya boşsa DestList akışı 0 bayt olabilir.
- CustomDestinations içeriğini uygulama belirler (kullanıcı görevleri dahil); kullanıcının açtığı dosyaları göstermeyebilir.
09Kaynaklar
- Jump lists format libyal / dtformats (J. Metz) · erişim 2026-10-14
- Jump Lists ForensicArtifacts / artifacts-kb · erişim 2026-10-14
- Windows Shortcut File (LNK) format libyal / liblnk (J. Metz) · erişim 2026-10-14
- Windows artifact definitions (windows.yaml) ForensicArtifacts / artifacts · erişim 2026-10-14