回答我自己的问题以供进一步参考：

Zeus 和许多其他支持 MiTB 的木马使用 API 挂钩作为首选方法，在网页被受害者呈现之前将恶意代码注入到网页中。API hooking 有点像对系统调用进行 MiTM，机器人拦截调用，取得所有权和控制权，执行一些恶意操作，然后将控制权返回给原始函数。就像是：

电话network_function：

JMP XYZ ----> JMPs to malicious code 
..                |
..                |
...           <---- returns to the original function

因此，在这种情况下，为了提取网络注入，最好的办法是了解木马的逻辑。也就是说，当用户在浏览器中打开一个 URL 后，该 URL 将与包含要注入哪些 URL 的配置的列表进行匹配。这必将对Wininet函数，如执行HttpSendRequest，HttpOpenRequest等等。如果我们在主要的过程，函数断点IExplore.exe（在被感染的计算机），我们将看到第一个指令是JMP我们已经讨论过的指令。如果我们继续进入，我们将使用结构 BinStorage 和其他结构访问实际指令，所有这些都与 Zeus 相关。由于仍然有很多代码需要通过，并且感兴趣的是检索 webinjects，一种方法是监视解密/解码指令（Zeus 的配置是加密存储的；只有当我们监视负责此的指令时才有意义操作将引导我们到实际的解密内容）。

在这种情况下搜索字节序列

 MOV ANY, ANY
 XOR ANY, ANY
 INC EAX
 DEC ESI

如果我们在最后一条指令之后断点，然后检查MOV/XOR操作中目标操作数指向的内存地址的内容，我们很可能会找到解密的有效负载（即我们的动态配置部分）。