Listando todas as contas do OS X conhecidas excluídas

Question

Onde posso encontrar o código do Applescript ou um PList para obter nomes de usuários excluídos, como é conhecido no próprio SO, independentemente das exclusões do sistema de arquivos?

Ter que depender de hierarquias de pastas e imagens de disco de backup fornecidas pelo SO não é uma boa maneira de fazer análises forenses. Aqueles podem ser facilmente destruídos.

    

Answer 1

Independentemente de outras respostas, encontrei essa solução bash há algum tempo:

defaults read /Library/Preferences/com.apple.preferences.accounts deletedUsers

Dá um nome de conta para cada usuário removido do sistema, neste formato. Não importa há quanto tempo ele foi removido, contanto que o próprio arquivo com.apple.preferences.accounts.plist não seja adulterado:

(
 {
    date = 9999-99-99 00:00:00 -0000;
    "dsAttrTypeStandard:RealName" = "Account name";
    "dsAttrTypeStandard:UniqueID" = 501;
    name = deletedusername;
 },

 {
    date = 9999-99-99 00:00:00 -0000;
    "dsAttrTypeStandard:RealName" = "Another name";
    "dsAttrTypeStandard:UniqueID" = 502;
    name = deletedothername;
 }

)

    

Answer 2

O Mac OS X não mantém uma lista ou banco de dados de contas excluídas. Quando você exclui uma conta, a entrada dessa conta é excluída do armazenamento de dados do Open Directory.