XML de la carga útil de la notificación

La carga útil (payload) es el documento XML que una aplicación entrega a Windows para describir una notificación. En wpndatabase.db se guarda en la columna Payload de la tabla Notification (como XML cuando PayloadType es Xml), y en appdb.dat ocupa huecos XML de tamaño fijo. El elemento raíz depende del tipo de notificación: <toast>, <tile> o <badge>.

Un toast sigue el esquema de contenido de toast de Microsoft: un elemento <visual> con un <binding> que contiene elementos <text> e <image>, y opcionalmente <actions> con botones <action> y cuadros <input>. El atributo launch lleva argumentos definidos por la aplicación. Los iconos usan <tile> con varios bindings, uno por tamaño de icono, que suelen repetir el mismo texto; un distintivo es un único <badge value="…"/>.

Por qué importa en una investigación

La carga útil es el contenido que vio el usuario. Las líneas <text> contienen el título y el cuerpo, lo que en las aplicaciones de chat y correo significa el remitente y las primeras líneas de un mensaje. Los arguments de launch y de las acciones suelen contener un identificador de elemento, de conversación o una URL, que vincula el toast con los datos propios de la aplicación. Los valores <image src> apuntan a una URL remota o a un archivo local de la aplicación. La carga útil sobrevive aunque el mensaje o el archivo que anunciaba se haya borrado y, como es un XML muy característico, también sirve de ancla para recuperar filas borradas.

Ejemplo

Un toast de chat ficticio, tal como podría aparecer en la columna Payload:

<toast launch="action=openThread&amp;threadId=4471">
  <visual>
    <binding template="ToastGeneric">
      <text>Mara K.</text>
      <text>Transfer done?</text>
    </binding>
  </visual>
  <actions>
    <input id="reply" type="text" placeHolderContent="Type a reply"/>
    <action content="Reply" arguments="reply:4471" activationType="background"/>
  </actions>
</toast>

Términos relacionados

El Windows Notification Parser muestra cada carga útil como una tarjeta legible junto al XML en bruto; wpndatabase.db: tablas y columnas explicadas enumera los campos que conviene leer.