Skip to content
NotificationPARSER

Glossaire

appdb.dat

Le stockage binaire non documenté des notifications sous Windows 8.x et Windows 10 avant la build 1607, remplacé par wpndatabase.db.

appdb.dat est le stockage des notifications qu'utilisaient Windows 8.x et les builds de Windows 10 antérieures à 1607, avant que Microsoft ne passe à la base SQLite wpndatabase.db. Il se trouve dans le même dossier, %LOCALAPPDATA%\Microsoft\Windows\Notifications\, et commence par la signature de quatre octets DNPW. Microsoft ne l'a jamais documenté : tout ce que l'on sait de sa structure vient de la rétro-ingénierie, publiée d'abord par Yogesh Khatri en 2016, puis transformée en définition complète par le projet Dissect.

La structure connue de la version 3 (Windows 10) est un fichier de taille fixe composé de 256 blocs. Chaque bloc contient un indicateur d'utilisation, une URI push WNS, un badge, cinq emplacements de vignette et vingt emplacements de toast. Chaque emplacement de vignette ou de toast porte un identifiant, des heures FILETIME d'arrivée et d'expiration, des noms et le XML de la notification. La version 1 (Windows 8) utilise une autre structure.

Pourquoi c'est important dans une investigation

Les images anciennes, et les systèmes mis à niveau depuis les premières builds de Windows 10, peuvent encore contenir un appdb.dat, parfois à côté d'un wpndatabase.db. Ses toasts utilisent le même XML de payload que la base moderne : aperçus de messages, avis de téléchargement et alertes de sécurité se lisent de la même manière. Deux limites comptent : un bloc ne nomme pas l'application à laquelle il appartient, et il n'y a pas d'espace libre SQLite à analyser, si bien que les entrées supprimées ne survivent que dans les emplacements pas encore réutilisés.

Exemple

Offset 0x00000   44 4E 50 57 03 00 00 00 ...   "DNPW", version 3
Taille d'un bloc 0x23810 octets (145 424)
Taille du fichier 256 x 0x23810 = 37 228 544 octets

Un fichier complet pèse donc un peu plus de 37 Mo, quel que soit son contenu. Un fichier plus court est probablement tronqué, ce que le parseur signale par un avertissement.

Termes associés

Ouvrez un appdb.dat dans le Windows Notification Parser (version 3, sans garantie) et lisez appdb.dat, l'ancien stockage des notifications pour la structure complète.