最終更新日時 (UTC): 2026-08-13 13:32
Windows Recent LNK ファイル のメモ。
概要
Windowsを使っていると以下のようなLNKファイルを度々見かける。
C:\Users\[username]\AppData\Roaming\Microsoft\Windows\Recent\[filename].lnk上記のLNKファイルが作成されるパターンは以下の２通りある。
- ユーザーがあるファイルを開いたとき、そのファイルへのショートカットファイルが
C:\Users\[username]\AppData\Roaming\Microsoft\Windows\Recentに作成される。例えばfoobar.txtというファイルをNotepadで開くとfoobar.txtのショートカットファイルfoobar.txt.lnkがC:\Users\[username]\AppData\Roaming\Microsoft\Windows\Recentに作成される。また自分の検証では新規にファイルを作成して保存した場合もC:\Users\[username]\AppData\Roaming\Microsoft\Windows\Recentにショートカットファイルが作成された。詳細は後述。 - ユーザーがエクスプローラーでファイルを検索して、その検索結果からファイルを開いたとき、検索に用いたキーワードのショートカットファイルが作成される。例えばユーザーがエクスプローラーで
fooと検索して、検索結果からfoobar.txtというファイルを開くと、foo.lnkというショートカットファイルがC:\Users\[username]\AppData\Roaming\Microsoft\Windows\Recentに作成される。詳しくはこちらの記事を参照。
検証
それぞれのパターンについて簡単に検証してみた。(検証にはWindows 7を使用)
1. のパターンの検証
Notepadでfoobar.txtというファイルを作成。
すると、ファイルを作成して保存したタイミングで即座にfoobar.txt.lnk というファイルがC:\Users\user\AppData\Roaming\Microsoft\Windows\Recentに作成された。
C:\Users\user\AppData\Roaming\Microsoft\Windows\Recent>dir
Volume in drive C has no label.
Volume Serial Number is 04F1-91A4
Directory of C:\Users\user\AppData\Roaming\Microsoft\Windows\Recent
07/28/2022 09:17 AM <DIR> .
07/28/2022 09:17 AM <DIR> ..
07/28/2022 09:17 AM <DIR> AutomaticDestinations
03/20/2019 07:29 PM <DIR> CustomDestinations
03/20/2019 09:15 PM 1,181 CyberChef.htm.lnk
07/28/2022 09:17 AM 444 foobar.txt.lnk
03/20/2019 09:15 PM 935 tools.lnk
3 File(s) 2,560 bytes
4 Dir(s) 7,948,091,392 bytes free
以下はfoobar.txt.lnkのプロパティ。C:\Users\user\Desktop\foobar.txtのショートカットファイルであることが分かる。
2. のパターンの検証
エクスプローラーの検索欄にfooと入力してCドライブ内を検索。
検索結果からfoobar.txtを開くとfoo.lnk というショートカットファイルが C:\Users\user\AppData\Roaming\Microsoft\Windows\Recent に作成された。(この時、検索結果からfoobar.txt.lnk の方を開くとショートカットファイルは作成されなかった。)
C:\Users\user\AppData\Roaming\Microsoft\Windows\Recent>dir
Volume in drive C has no label.
Volume Serial Number is 04F1-91A4
Directory of C:\Users\user\AppData\Roaming\Microsoft\Windows\Recent
07/28/2022 09:20 AM <DIR> .
07/28/2022 09:20 AM <DIR> ..
07/28/2022 09:17 AM <DIR> AutomaticDestinations
03/20/2019 07:29 PM <DIR> CustomDestinations
03/20/2019 09:15 PM 1,181 CyberChef.htm.lnk
07/28/2022 09:20 AM 11,644 foo.lnk
07/28/2022 09:20 AM 13,298 foobar.txt.lnk
03/20/2019 09:15 PM 935 tools.lnk
4 File(s) 27,058 bytes
4 Dir(s) 7,948,038,144 bytes free以下はfoo.lnk のプロパティ。検索結果のショートカットファイルであることが分かる。
LNKファイルからリンク先のファイルのタイムスタンプを調べる
LNKファイルにはリンク先のファイルのタイムスタンプ情報も保持されている。
以下はtest.txtというファイルを開いた際に作成されたLNKファイル test.txt.lnkである。
以下はリンク先のファイルtest.txtの情報である。ファイルの作成日時は2026年3月26日 21:44:12 であることが伺える。
LNKファイルのtest.txt.lnkをexiftoolで調べたところ、リンク先のtest.txtのタイムスタンプ (太字) が確認できた。
$ exiftool test.txt.lnk
ExifTool Version Number : 12.40
File Name : test.txt.lnk
Directory : .
File Size : 533 bytes
File Modification Date/Time : 2026:08:13 20:55:47+08:00
File Access Date/Time : 2026:08:13 20:59:29+08:00
File Inode Change Date/Time : 2026:08:13 20:56:52+08:00
File Permissions : -rwxrwxrwx
File Type : LNK
File Type Extension : lnk
MIME Type : application/octet-stream
Flags : IDList, LinkInfo, RelativePath, WorkingDir, Unicode, NoKnownFolderTracking
File Attributes : Archive
Create Date : 2026:03:26 21:44:12+08:00
Access Date : 2026:08:13 20:55:33+08:00
Modify Date : 2026:03:26 21:44:10+08:00
Target File Size : 8
Icon Index : (none)
Run Window : Normal
Hot Key : (none)
Target File DOS Name : test.txt
Drive Type : Fixed Disk
Volume Label :
Local Base Path : C:\Users\analyst\Desktop\test.txt
Relative Path : ..\..\..\..\..\Desktop\test.txt
Working Directory : C:\Users\analyst\Desktop
Machine ID : <REDACTED>参考
https://www.mandiant.com/resources/the-missing-lnk-correlating-user-search-lnk-files
