Skip to content
NotificationPARSER

Glossar

appdb.dat

Der undokumentierte binäre Benachrichtigungsspeicher von Windows 8.x und Windows 10 vor Build 1607, abgelöst durch wpndatabase.db.

appdb.dat ist der Benachrichtigungsspeicher, den Windows 8.x und Windows-10-Builds vor 1607 verwendeten, bevor Microsoft auf die SQLite-Datenbank wpndatabase.db umstieg. Die Datei liegt im selben Ordner, %LOCALAPPDATA%\Microsoft\Windows\Notifications\, und beginnt mit der vier Byte langen Signatur DNPW. Microsoft hat sie nie dokumentiert: Alles, was über ihren Aufbau bekannt ist, stammt aus Reverse Engineering, zuerst 2016 von Yogesh Khatri veröffentlicht und später vom Dissect-Projekt zu einer vollständigen Strukturdefinition ausgebaut.

Das bekannte Layout der Version 3 (Windows 10) ist eine Datei fester Größe aus 256 Chunks. Jeder Chunk enthält ein In-Use-Flag, eine WNS-Push-URI, ein Badge, fünf Kachel-Slots und zwanzig Toast-Slots. Jeder Kachel- und Toast-Slot trägt eine ID, Eingangs- und Ablaufzeit als FILETIME, gespeicherte Namen und das XML der Benachrichtigung. Version 1 (Windows 8) verwendet ein anderes Layout.

Warum es für Ermittlungen wichtig ist

Ältere Images und Systeme, die von frühen Windows-10-Builds aktualisiert wurden, können noch eine appdb.dat enthalten, manchmal neben einer wpndatabase.db. Ihre Toasts verwenden dasselbe Payload-XML wie die moderne Datenbank, sodass sich Nachrichtenvorschauen, Download-Hinweise und Sicherheitswarnungen genauso lesen lassen. Zwei Grenzen sind wichtig: Ein Chunk nennt die App nicht, der er gehört, und es gibt keinen freien SQLite-Speicher für Carving. Gelöschte Einträge überleben daher nur in Slots, die noch nicht wiederverwendet wurden.

Beispiel

Offset 0x00000  44 4E 50 57 03 00 00 00 ...   "DNPW", Version 3
Chunk-Größe     0x23810 Bytes (145.424)
Dateigröße      256 x 0x23810 = 37.228.544 Bytes

Eine vollständige Datei ist also etwas über 37 MB groß, unabhängig vom Inhalt. Eine kürzere Datei ist vermutlich abgeschnitten, was der Parser als Warnung meldet.

Verwandte Begriffe

Öffnen Sie eine appdb.dat im Windows Notification Parser (Version 3, nach bestem Bemühen) und lesen Sie appdb.dat, der alte Benachrichtigungsspeicher für die vollständige Struktur.