OneNote Revision Store (ONE)
| Format | OneNote Revision Store (ONE) |
|---|---|
| Kurzname | OneNote |
| Kategorie | Dokument |
| Plattformen | Windows, macOS |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Das Revision-Store-Format von OneNote für Abschnittsdateien (.one) und Inhaltsverzeichnisdateien (.onetoc2). Der Header kennzeichnet Dateityp und Format über GUIDs; Inhalte werden als Revisionen von Object Spaces gespeichert, daher können frühere Seitenversionen und entfernte Inhalte in der Datei erhalten bleiben. Abschnitte können beliebige Dateien einbetten, was auch genutzt wurde, um Malware über OneNote-Anhänge auszuliefern.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | E4 52 5C 7B 8C D8 A7 4D AE B1 53 78 D0 29 96 D3 | .R\{...M..Sx.).. | guidFileType {7B5C52E4-D88C-4DA7-AEB1-5378D02996D3} (.one-Abschnitt) |
| Offset 0 (0x0) | A1 2F FF 43 D9 EF 76 4C 9E E2 10 EA 57 22 76 5F | ./.C..vL....W"v_ | guidFileType {43FF2FA1-EFD9-4C76-9EE2-10EA5722765F} (.onetoc2) |
| Offset 48 (0x30) | 3F DD 9A 10 1B 91 F5 49 A5 D0 17 91 ED C8 AE D8 | ?......I........ | guidFileFormat {109ADD3F-911B-49F5-A5D0-1791EDC8AED8} |
Bekannte Dateiendungen
.one, .onetoc2
Referenzen
- [MS-ONESTORE]: OneNote Revision Store File Format (Microsoft) https://learn.microsoft.com/en-us/openspecs/office_file_formats/ms-onestore/ae670cd2-4b38-4b24-82d1-87cfb2cc3725
- pyOneNote — header GUIDs (DissectMalware) https://github.com/DissectMalware/pyOneNote/blob/main/pyOneNote/Header.py
Diesen Eintrag zitieren
Crush-Format-Referenz, „OneNote Revision Store (ONE)“. https://kalink0.github.io/crush-forensics/formats/de/onenote/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden