XML du payload de notification

Le payload est le document XML qu'une application transmet à Windows pour décrire une notification. Dans wpndatabase.db, il est stocké dans la colonne Payload de la table Notification (en XML lorsque PayloadType vaut Xml) ; dans appdb.dat, il occupe des emplacements XML de taille fixe. L'élément racine dépend du type de notification : <toast>, <tile> ou <badge>.

Un toast suit le schéma de contenu des toasts de Microsoft : un élément <visual> avec un <binding> contenant des éléments <text> et <image>, et éventuellement des <actions> avec des boutons <action> et des zones de saisie <input>. L'attribut launch transporte des arguments définis par l'application. Les vignettes utilisent <tile> avec plusieurs bindings, un par taille de vignette, qui répètent généralement le même texte ; un badge est un unique <badge value="…"/>.

Pourquoi c'est important dans une investigation

Le payload est le contenu que l'utilisateur a vu. Les lignes <text> contiennent le titre et le corps, c'est-à-dire, pour les applications de messagerie et de courrier, l'expéditeur et les premières lignes d'un message. Les arguments de launch et des actions contiennent souvent un identifiant d'élément, de conversation ou une URL, qui relie le toast aux données propres de l'application. Les valeurs <image src> renvoient à une URL distante ou à un fichier local de l'application. Le payload survit même quand le message ou le fichier annoncé a été supprimé ; et comme c'est un XML caractéristique, il sert aussi d'ancre pour récupérer les lignes supprimées.

Exemple

Un toast de messagerie fictif, tel qu'il pourrait figurer dans la colonne Payload :

<toast launch="action=openThread&amp;threadId=4471">
  <visual>
    <binding template="ToastGeneric">
      <text>Mara K.</text>
      <text>Transfer done?</text>
    </binding>
  </visual>
  <actions>
    <input id="reply" type="text" placeHolderContent="Type a reply"/>
    <action content="Reply" arguments="reply:4471" activationType="background"/>
  </actions>
</toast>

Termes associés

Le Windows Notification Parser affiche chaque payload sous forme de carte lisible et montre le XML brut ; les tables et colonnes de wpndatabase.db expliquées liste les champs à lire.