Come trovare la data di creazione di un account utente locale?

Vorrei ottenere la data di creazione di un account utente locale (Win 7 se è importante). Ho esaminato i seguenti oggetti WMI (e ovviamente Google):

Win32_UserAccount Win32_NetworkLoginProfile

Gli oggetti restituiti NetworkLoginProfilehanno l'ora dell'ultimo accesso, ma non la data di creazione. Il controllo della Date Createdproprietà della cartella del profilo indica semplicemente la data di creazione della cartella , non necessariamente l'account stesso.

I dati sono nel SAM ma non sembrano essere documentati pubblicamente da Microsoft e non trovo un'API ufficiale per recuperarli. Vedo, guardando il codice sorgente chntpwdell'utilità, che il valore è archiviato nella chiave di registro "F" per ciascun account. Dimentica il codice sorgente:

#define USER_F_PATH "\\SAM\\Domains\\Account\\Users\\%08X\\F"

struct user_F {
  ...
  char t_creation[8]; /* Time of account creation */
  ...
}

Il progetto forensics regripper ha un plugin, samparse che riporterà la data di creazione dell'account.

Uno strumento forense probabilmente non è quello che vuoi, ma sembra che Microsoft non lo stia semplificando.

Nella ricerca di questo ho trovato divertente che un MVP di Microsoft non sapesse che i dati di creazione dell'account sono memorizzati nel SAM . A suo vantaggio, forse non è lontano chntpwdall'utilità, che è dove ho iniziato la mia ricerca di informazioni sulle strutture SAM non documentate.

L'unico modo per sapere effettivamente sarebbe avere il controllo di gestione dell'account abilitato sul calcolo r quando l'account è stato creato. Quindi, vedresti EventID 4720 nel registro eventi alla data di creazione. (L'articolo dice Active Directory, ma lo stesso vale anche per gli account locali; ho controllato.)

Senza quello, il più vicino che puoi trovare è controllando la data di creazione sull'hive del registro dell'utente, sul ntuser.datfile, sulla cartella del profilo utente ecc., Ma come menzionato nei commenti, questo è accurato solo per quanto riguarda il primo accesso dell'utente, dato che è quando quelle cose sono creati.

Sfortunatamente per te, questo è un caso di "se non l'hai registrato, allora quell'informazione non esiste."

Stavo per darti uno script POC PowerShell per estrarre ed analizzare i tempi di creazione, ma mi sono reso conto che chntpwla logica non è corretta. Il valore che chiama l'ora di creazione è in realtà l'ora dell'ultima impostazione della password, sebbene questi valori siano gli stessi alla creazione dell'account iniziale. Vedi qui per una descrizione esaustiva del SAM.

Il secondo link di Evan, infatti samparse, potrebbe farlo bene. Guardare in realtà funziona. Se guardi la sua fonte qui , linea 99:

$c_date = $create->get_timestamp();

vedrai che chiama get_timestampda Perl Parse::Win32Registry. Sono abbastanza sicuro che in realtà sia l'ultimo tempo di scrittura della chiave. Poiché sembra che quel particolare tasto ( HKLM\SAM\SAM\Domains\Account\Users\Names\<USERNAME>) contenga solo un puntatore al tasto RID corrispondente, non dovrebbe cambiare dopo la creazione e l'ultimo tempo di scrittura sarà uguale al tempo di creazione.

Voglio rimanere con più strumenti integrati, ecco una serie di articoli di Scripting Guy che spiegano come tramite PowerShell:

Utilizzare PowerShell per accedere al timestamp dell'ultima modifica del registro

Riutilizzo del codice timestamp del registro di PowerShell

Creare una funzione proxy per visualizzare i timestamp delle chiavi di registro

Sfrutta i timestamp delle chiavi di registro tramite PowerShell

Questo comando in PowerShell dovrebbe fare il trucco:

systeminfo | findstr /C:"Install Date"

Passare tramite Risorse del computer a

C: \ Users e vedrai tutti gli account utente elencati sul computer locale. È possibile fare clic con il pulsante destro del mouse sull'account utente appropriato e andare su Proprietà e ti mostrerà una data di creazione, dovrebbe essere la stessa della creazione dell'account utente

Solo i miei 2 centesimi