Где я могу найти код Applescript или PList для получения удаленных имен пользователей, известных самой ОС, независимо от удалений файловой системы?
Необходимость зависеть от иерархии папок и резервных образов дисков, предоставляемых ОС, не является хорошим способом проведения судебного анализа. Те могут быть легко уничтожены.
Независимо от других ответов, я нашел это решение для Bash некоторое время назад:
defaults read /Library/Preferences/com.apple.preferences.accounts deletedUsers
Предоставляет одно имя учетной записи для каждого пользователя, удаленного из системы, в этом формате. Не имеет значения, как давно он был удален, если сам файл com.apple.preferences.accounts.plist не был изменен:
(
{
date = 9999-99-99 00:00:00 -0000;
"dsAttrTypeStandard:RealName" = "Account name";
"dsAttrTypeStandard:UniqueID" = 501;
name = deletedusername;
},
{
date = 9999-99-99 00:00:00 -0000;
"dsAttrTypeStandard:RealName" = "Another name";
"dsAttrTypeStandard:UniqueID" = 502;
name = deletedothername;
}
)
Mac OS X не хранит список или базу данных удаленных учетных записей. Когда вы удаляете учетную запись, запись для этой учетной записи удаляется из хранилища данных Open Directory.