@port139 Blog

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

Office 2007でのオブジェクト追加

Office 2007では、WORDやEXCELのファイル(Docx,Xlsx)が ZIP ファイル形式になっており、圧縮ファイルの中にXMLなファイルが保存されています。
試しに WORD ファイル(Docx)にオブジェクトとして、Excel(Xlsx)の表データを挿入してみたところ、ZIPファイル内部の \word\embeddings フォルダ配下に『Microsoft_Office_Excel_97-2003_______1.xls』というファイル名で挿入したデータ部分がファイルとして保存されていました。
拡張子が .XLS ということで、このファイルは Excel 2003 形式なのですが、Office 2007 形式ファイルの中に、Office 2003 形式の Office ファイルが混在しているのが、hybrid MS Office file なんでしょうかね?という勝手な推測をしています。
例えば、WORD の中に挿入された表データを編集すると、この『Microsoft_Office_Excel_97-2003_______1.xls』ファイルの内容が変更されていきます。
これは中々興味深い機能ですね。
EnCase Forensic版の 6.6 がリリースされていましたので、早速このファイルをマウントしていろいろ確認してみましたが、Office 2007形式ファイルの検索時には、文字コードとして UTF-8 だけでなく、UTF-16LE も入れておかないと見逃しますかね。