Wat is het LNK-bestandsformaat?
.lnk-bestanden zijn de snelkoppelingsbestanden die in het Windows-systeem worden gebruikt. Ze bevatten informatie over het type en de locatie van het doel - geïdentificeerd door een lokaal pad, UNC-share of Shell Item ID-lijst - en over het bijbehorende programma.
.lnk-bestanden kunnen aanvullende, door de gebruiker gedefinieerde informatie bevatten. Als ze zijn gekoppeld aan een .exe-toepassing, kunnen ze ook de initiële opstartkenmerken aangeven voor het programma waarnaar ze verwijzen, zoals de vensterstatus, de werkmap en opdrachtregelargumenten. In Windows tonen .lnk-bestanden hetzelfde pictogram als hun doelbestand. De extensie .lnk is standaard verborgen in de bestandsnaam en verschijnt niet in de Verkenner.
Het binaire formaat is door Microsoft gedocumenteerd als de MS-SHLLINK-specificatie (gepubliceerd in 2010). Elk .lnk-bestand begint met een vaste header van 76 bytes: magic bytes 4C 00 00 00 gevolgd door de vaste shell link class CLSID. Gerelateerde snelkoppelingsformaten zijn onder meer .url (internetsnelkoppeling) en .pif (verouderde DOS-programmasnelkoppeling).
Wanneer een .lnk-snelkoppeling niet meer werkt
Het wijzigen van bepaalde parameters van het doelbestand - zoals de naam of locatie - resulteert in het uitschakelen van alle snelkoppelingsbestanden die ernaar leiden. Wijzigingen in schijfletters of netwerkverbindingen kunnen er ook voor zorgen dat bureaubladsnelkoppelingen verdwijnen. Windows bevat een service voor het bijhouden van koppelingen die probeert verbroken snelkoppelingen automatisch te herstellen; wanneer dit mislukt, is het opnieuw maken van de snelkoppeling of het bijwerken van het doelpad via het dialoogvenster *Eigenschappen* de aanbevolen oplossing.
Beveiliging & veiligheid
RISICO: HIGHLNK is een van de meest misbruikte formaten voor initiële toegang op Windows. Een snelkoppeling kan geruisloos cmd/PowerShell starten met door de aanvaller gecontroleerde argumenten en een vermomd pictogram (PDF, map); sinds Microsoft in 2022 internet-Office-macro's blokkeerde, werden LNK-bestanden in ZIP/ISO-e-mailbijlagen een primair malware-vector. Historische LNK-fouten zijn onder meer CVE-2010-2568 (Stuxnet) en ZDI-CAN-25373 / CVE-2025-9491 - met witruimte opgevulde argumenten die de echte opdracht verbergen in het dialoogvenster Eigenschappen, misbruikt door meer dan 11 door staten gesponsorde groepen sinds ca. 2017 en door Microsoft pas gepatcht in de updates van november 2025. Regels voor gebruikers: dubbelklik nooit op een .lnk die via e-mail/USB is binnengekomen, inspecteer deze in plaats daarvan met LECmd/ExifTool en houd Windows up-to-date. Een „snelkoppelingsvirus” op USB-sticks verbergt mappen en vervangt ze door kwaadaardige snelkoppelingen - opschonen met een AV-scan plus attrib, niet alleen de links verwijderen.
Formaatdetails
in een notendopProgramma's die LNK-bestanden openen
Windows3 apps
Microsoft Windows (File Explorer)
Ingebouwd Dubbelklikken voert het doel uit. Rechtermuisklik → Eigenschappen toont het veld Doel; „Bestandslocatie openen” springt naar het echte bestand. Om een verbroken .lnk-associatie te herstellen, verwijdert u HKCU\...\FileExts\.lnk\UserChoice en herstart u de Verkenner.
LECmd (Eric Zimmerman)
Gratis Opdrachtregel: LECmd.exe -f bestand.lnk - dumpt volledige metadata (doel, tijdstempels, machine-ID) zonder iets uit te voeren; de standaard voor forensisch onderzoek.
ExifTool
Open-source exiftool bestand.lnk print het doelpad, argumenten en machine-metadata op een veilige manier (geen uitvoering); werkt ook op macOS/Linux. 
macOS1 app
ExifTool
Open-source exiftool bestand.lnk print het doelpad, argumenten en machine-metadata op een veilige manier (geen uitvoering); werkt ook op macOS/Linux. 
Linux2 apps
liblnk (lnkinfo)
Open-source Installeer liblnk-utils, gebruik daarna lnkinfo bestand.lnk om het doel en de metadata van de snelkoppeling te inspecteren.
ExifTool
Open-source exiftool bestand.lnk print het doelpad, argumenten en machine-metadata op een veilige manier (geen uitvoering); werkt ook op macOS/Linux. Technische details
diepe specificaties| Containertype | Binaire header met vaste lengte (76 bytes) gevolgd door optionele gegevensblokken met variabele lengte |
| Magic bytes | 4C 00 00 00 01 14 02 00 … C0 00 … 46 - de eerste 4 bytes coderen de headergrootte; bytes 4-19 bevatten de vaste shell link class CLSID, beide op offset 0 |
| MIME-type | application/x-ms-shortcut |
| Byte-volgorde | Little-endian in alle numerieke velden |
| Teken-codering | Code-page (ANSI) of Unicode (UTF-16 LE); een vlag in de ShellLinkHeader geeft aan welke codering aanwezig is |
| Doelreferentietypes | Lokaal bestand of mappad, UNC-netwerkpad, volume-root, of pad met omgevingsvariabelen via EnvironmentVariableDataBlock |
| Belangrijkste gegevensstructuren | ShellLinkHeader, LinkTargetIDList (ITEMIDLIST), LinkInfo, StringData-blokken, ExtraData-blokken - allemaal optioneel behalve de header |
| Vensterstatusveld | ShowCommand in de header: 1 = Normaal, 3 = Gemaximaliseerd, 7 = Geminimaliseerd |
| Sneltoetsveld | 16-bits waarde in de header die een VirtualKey-code combineert met modificatievlaggen (Shift, Ctrl, Alt) |
| Ondersteuning voor relatieve paden | Optionele RelativePath-string stelt de Windows-shell in staat een verbroken snelkoppeling zelf te herstellen wanneer het doel binnen hetzelfde volume wordt verplaatst |
| Ingebedde doeltijdstempels | FileTime-waarden voor aanmaak, laatste wijziging en laatste toegang van het doel worden opgeslagen in LinkInfo, wat .lnk-bestanden waardevol maakt voor digitaal forensisch onderzoek |
| Pictogramopslag | Afzonderlijke IconLocation-padstring plus een integer IconIndex die verwijst naar de pictogrambron binnen dat bestand |
| Zichtbaarheid van extensie | Standaard verborgen door de Windows-shell; beheerd door de HideFileExt-waarde onder HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced |
| Beveiligingsgeschiedenis | Misbruikt door Stuxnet (CVE-2010-2568): kwaadaardige .lnk-bestanden veroorzaakten code-uitvoering tijdens het renderen van het pictogram; gepatcht in MS10-046 (augustus 2010) |
| Platformondersteuning | Systeemeigen voor Windows 95 en alle latere Windows-versies; analyseerbaar op Linux en macOS via liblnk (lnkinfo) en ExifTool |
| Uitgebracht | 1995 (Windows 95); binary format publicly documented since 2010 as MS-SHLLINK |
| Open standaard | Ja · royaltyvrij |
| Specificatie | learn.microsoft.com |
LNK conversies
Community V&A
gevraagd door gebruikersNog geen vragen - wees de eerste om iets te vragen over LNK-bestanden.
Veelgestelde vragen
Al mijn bestanden zijn veranderd in .lnk-snelkoppelingen - hoe krijg ik ze terug?
attrib -h -r -s /s /d X:\*.* uit (vervang X: door de betreffende schijf). Verwijder daarna de overgebleven .lnk-bestanden.Elke snelkoppeling opent nu met Kladblok/Word - hoe herstel ik de .lnk-associatie?
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.lnk\UserChoice, en herstart vervolgens de Verkenner of start de computer opnieuw op.Is een .lnk-bestand gevaarlijk?
Hoe kan ik zien waarnaar een snelkoppeling verwijst?
Kan ik een Windows .lnk-bestand openen op een Mac of Linux?
Waarom zie ik de .lnk-extensie niet, zelfs niet als extensies zijn ingeschakeld?
NeverShowExt registervlag voor het type lnkfile, zodat snelkoppelingen alleen het pictogram met de gebogen pijl tonen. Malware misbruikt dit om „factuur.pdf.lnk” te vermommen als „factuur.pdf”.
