XLSX我有這是由一個未知的第三方修改的<em>XLSX文件</em>（Microsoft Excel）中的變化

Question

的取證分析。 追蹤變化未啓用。是否有任何的可能性來提取對於一些取證信息：

• 活動（動作，時間）
• 用戶（用戶名，主機名，IP地址）

我已經重命名的文件，以ZIP和提取了內容。它看起來像有可能是一些有前途的細節，當涉及到以下文件：

• comments1.xml
• styles.xml
• sharedStrings.xml
• printerSettings（[0-9] +）的.bin

但在我來說，我是不是能找到什麼有用的東西。

Answer 1

我能找到一些有趣的事情這是在我的情況是非常有用的。

有一個名爲sharedStrings.xml的文件，其中包含工作表中一個或多個單元格中使用的所有字符串。工作表本身確實引用這個文件來節省資源。

在共享字符串文件琴絃被順序記錄。如果您有特定的惡意事件（例如有人寫了或覆蓋了單元格內容），則可以確定之前和之後的所有活動。

實施例內容的sharedStrings.xml：

<?xml version="1.0" encoding="UTF-8" standalone="yes"?> 
<sst xmlns="http://schemas.openxmlformats.org/spreadsheetml/2006/main" count="3" uniqueCount="3"><si><t>First input</t></si><si><t>Second input</t></si><si><t>Third input</t></si></sst> 

引出該序列的動作：

1. 增加了新的細胞內容First input
2. 增加了新的細胞內容Second input
3. 加新的細胞內容Third input

如果單元格的內容被替換，則該文件中的整個條目也被替換（沒有可審計性）。如果一個單元格的內容被刪除，情況也是如此。整個條目也將被刪除。

在我的情況下，有可能確定哪個用戶可能已經處理了惡意事件之前和之後的單元內容。這不會導致一個具體的嫌疑犯，但它縮小了可能的嫌疑犯名單。