移花接木 将Alexa工具条改装成间谍木马

Alexa是一个发布全球网站排名信息的网站，他的网址是http://www.alexa.com。Alexa通过在客户端（计算机爱好者，学习计算机基础，电脑入门，请到本站，我站同时提供计算机基础知识教程，计算机基础知识试题供大家学习和使用），安装Alexa工具条来收集采样全球网站的访问数据，以这些数据为依据对全球网站进行排名，类似于电视收视率的统计。Alexa工具条是一种类似于Google工具条的IE插件，你可以在下面URL中下载:http://download.alexa.com/index.cgi。 一、Alexa工具条的工作原理
　　Alexa工具条是一种基于BHO和Toolbar Bands技术的一种IE插件。它以DLL文件的形式存在于系统中，是一种COM组件，IE会在运行时将其加载到自身进程中去，所以一般情况下防火墙是无法禁止该软件访问网络的，这就为他的木马角色提供了先天的便利，而且比本机Sniff软件收集密码的优势是：无论是HTTP还是HTTPS的网站，不管通信通道是否加密，只要是IE页面的表单都能收集到。具体原理可以查阅《关于Alexa排名作弊的一些解惑》。
　　系统在安装了Alexa工具条后，会在系统目录下生成AlxTB1.dll和AlxRes.dll两个DLL文件(有些情况下是AlxTB2.dll，而不是AlxTB1.dll。那是因为Alexa工具条会自动上网更新的原因)。Alexa工具条的主要二进制代码存在于AlxTB1.dll文件中，这个文件同时也被注册成多个COM组件，他完成了BHO和Toolbar Bands的COM接口，并将IE的WebBrowser控件封装为一个COM组件供AlxRes.dll调用。AlxRes.dll文件仅包含少量的二进制代码，大量的代码是HTML和&#106avas cript代码，他们以资源的形式存在于AlxRes.dll文件中，你可以通过res://AlxRes.dll/CHTML/about.html这样的URL来访问这些资源。也许你会奇怪：又不是做网站，为什么软件的代码会是&#106avas cript写的？这就是Alexa工具条垃圾的地方。Alexa工具条的主界面是由HTML+&#106avas cript实现的。这些&#106avas cript代码通过调用AlxTB1.dll实现的COM接口来实现软件的全部功能。这样做不仅导致软件的效率低下，而且产生大量的资源泄漏，绝对是一种VERY超级SB的开发模式，但是却为我们修改Alexa工具条的功能提供了方便——根本不需要CRACKER知识，只要一个PE资源修改工具就可以对Alexa工具条的代码进行修改了。
　　二、破解Alexa工具条
　　当然，Alexa也不是真傻，绝对不会蠢到让自己的代码被你用资源修改工具随便改。为了防止AlxRes.dll中的资源被随意修改，他采取了计算文件校验和的保护方法，要是发现文件被修改，就会拒绝加载。我们在修改代码前，必须破解这种保护机制。
　　AlxTB1.dll导出一个名叫ChecksumResources的函数，这个函数就是用来计算文件校验和的。用c32asm反汇编AlxRes.dll文件，查看字符串调用列表，找到”ChecksumResources””字符串，跳转到调用该字符串的代码，于100017C0处。往下翻几行，在100017F6处找到一句跳转，采用爆破方式，用NOP指令覆盖JNZ指令即可。通俗点讲：就是将AlxRes.dll文件偏移””0x17F6″”处的两个字节””75 11″”改成””90 90″”，你可以使用WinHex之类的16进制编辑软件来修改。
　　:100017C0:: 68 9C700010 PUSH 1000709C :BYJMP JmpBy:100017A4