Skip to content
NotificationPARSER

Glosario

appdb.dat

Almacén binario no documentado de notificaciones de Windows 8.x y de Windows 10 anterior a la compilación 1607, sustituido por wpndatabase.db.

appdb.dat es el almacén de notificaciones que usaban Windows 8.x y las compilaciones de Windows 10 anteriores a la 1607, antes de que Microsoft pasara a la base de datos SQLite wpndatabase.db. Se encuentra en la misma carpeta, %LOCALAPPDATA%\Microsoft\Windows\Notifications\, y empieza con la firma de cuatro bytes DNPW. Microsoft nunca lo ha documentado: todo lo que se sabe de su estructura procede de la ingeniería inversa, publicada primero por Yogesh Khatri en 2016 y convertida después en una definición completa por el proyecto Dissect.

La estructura conocida de la versión 3 (Windows 10) es un archivo de tamaño fijo con 256 bloques. Cada bloque contiene un indicador de uso, una URI push de WNS, un distintivo (badge), cinco huecos para iconos (tiles) y veinte huecos para toasts. Cada hueco de icono o de toast lleva un identificador, horas de llegada y caducidad en FILETIME, nombres y el XML de la notificación. La versión 1 (Windows 8) usa otra estructura.

Por qué importa en una investigación

Las imágenes antiguas, y los sistemas actualizados desde las primeras compilaciones de Windows 10, pueden conservar un appdb.dat, a veces junto a un wpndatabase.db. Sus toasts usan el mismo XML de carga útil que la base moderna, así que las vistas previas de mensajes, los avisos de descarga y las alertas de seguridad se leen igual. Hay dos límites importantes: un bloque no indica a qué aplicación pertenece, y no hay espacio libre de SQLite que tallar (carving), por lo que las entradas borradas solo sobreviven en los huecos que aún no se han reutilizado.

Ejemplo

Offset 0x00000     44 4E 50 57 03 00 00 00 ...   "DNPW", versión 3
Tamaño de bloque   0x23810 bytes (145.424)
Tamaño de archivo  256 x 0x23810 = 37.228.544 bytes

Un archivo completo ocupa, por tanto, algo más de 37 MB, contenga lo que contenga. Un archivo más corto probablemente esté truncado, y el parser lo indica con una advertencia.

Términos relacionados

Abre un appdb.dat en el Windows Notification Parser (versión 3, sin garantías) y lee appdb.dat, el antiguo almacén de notificaciones para conocer la estructura completa.