アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

XPSファイルの検索

XPS ファイルでは、文書内容が 1.fpage などのファイル名で、XML ファイルとして UTF-8 で記録されています。XPSファイル自体は ZIP ファイルなので、EnCase などではまず XPS をマウントしてから、中にあるファイルに対して文字列検索すればいいわけですが、rtfと同じような悩みがありますね。
例えば、これは Word から出力した XPS ファイルの一部ですが、「エクスポート」という文字列が“エクス”と“ポート”に分割された状態で存在してますので、“エクスポート”を UTF-8 で検索してもヒットしません。


PDF と同じくバイナリ検索はアレなので、Odessy Digital Forensics などを使ってインデックス検索する方が確実ですね。*1

*1:EF6.11.2に搭載のOutsideInではXPSのDocviewでの表示に対応してないみたいですし