作者：catcatyu（xxx@example.com）

为什么要阻止升级

RevokeMsgPatcher 通过对客户端二进制做特征 patch，实现 PC 微信 / QQ 的防撤回等能力。特征是跟具体版本绑定的，客户端一升，偏移和指令序列往往就失效。

社区 PR huiyadanli/RevokeMsgPatcher#1193 （fix: update QQNT anti-recall patterns）把 QQNT 防撤回特征更新到了：

也就是说：

• 你装了更高版本的 QQNT / 微信，这个 PR 里的规则不一定还能匹配；
• 腾讯客户端默认会后台检查 + 热更新/补丁下载，一重启就可能悄悄升上去；
• 想稳定用防撤回，就得先把版本钉住，再跑 patch 工具。

本文记录在 Windows 宿主机上实际踩过的路径：只拦 dldir*.qq.com 不够；QQNT 和微信 4.x 的更新通道、本地缓存位置都不一样。

说明：这是延后升级，不是永久锁死。服务端若强制最低版本，旧客户端仍可能无法登录。也不要用来路不明的「免更新破解版」。

历史版本从哪里下

当前版本已经高于 patch 上限时，需要先降回可用版本，再立刻做防更新。不要去搜来路不明的「绿色版 / 免更新破解包」；社区有专门归档安装包的仓库（Release 资产，可自行核对哈希）：

配合本文目标上限时，优先找：

• QQNT：9.9.20-36330（或 PR / 工具说明支持的最近一档）
• 微信：4.1.9.30（Weixin 4.x）

建议流程：

1. 卸载当前过高版本（或至少退出客户端）
2. 从上述仓库的 Releases 下载对应安装包
3. 安装完成后先不要登录，立刻做本文后面的 hosts / 清缓存 / 锁目录
4. 再登录，并运行 RevokeMsgPatcher

仓库由第三方维护，安装包是否完整、是否被服务端拒绝登录，以你本机实测为准；下载后尽量核对 Release 里公布的校验信息。

先确认当前版本

QQNT

安装目录常见：

1

C:\Program Files\Tencent\QQNT\

看当前热更新配置：

1

C:\Program Files\Tencent\QQNT\versions\config.json

关键字段：

1
2
3
4
5

{
  "curVersion": "9.9.20-36330",
  "readyVersion": "",
  "readyType": ""
}

• curVersion：正在用的版本目录名
• readyVersion 非空：本地已经下好/解压好，提示「新版本已就绪」，重启就会切过去

进程命令行里也能看到：

1

--app-path="C:\Program Files\Tencent\QQNT\versions\9.9.20-36330\resources\app"

微信（新版 Weixin 4.x）

新版安装目录是 Weixin，不是老的 WeChat：

1
2

C:\Program Files\Tencent\Weixin\
C:\Program Files\Tencent\Weixin\4.1.9.30\

用户数据与更新缓存：

1
2

%AppData%\Tencent\xwechat\
%AppData%\Tencent\xwechat\update\

更新组件：

1

%AppData%\Tencent\xwechat\xplugin\plugins\WeixinUpdate\<id>\extracted\WeixinUpdate.exe

总原则：更新分两段

所以会出现：

• hosts 已生效，但客户端仍提示「发现新版本 / 新版本已就绪」——正常；
• 点「立即更新」仍能下——说明走了别的域名，或IPv6 / 已建立连接没被拦；
• 点了就能装——说明包早就下完了。

一、QQNT：真正的热更新域名不是 dldir

1. 特征串（从 major.node 里能抠到）

1
2
3

https://qqpatch.gtimg.cn
https://qqpatch.gtimg.cn/hotUpdate_new
https://qqpatch.gtimg.cn/dynamic_module/

实际下载时 DNS 缓存里还出现过腾讯下载 CDN 变体，例如：

1
2

downv6.ydcdn.tcdnos.com
downv6.aly.tcdnos.com

（会随线路变化，以本机 DNS 缓存 / 抓包为准。）

2. 本地落地位置

热更新包会进：

1
2
3
4
5

C:\Program Files\Tencent\QQNT\versions\
  9.9.20-36330\          ← 当前版本目录
  9.9.xx-xxxxx\          ← 已解压的新版本
  9.9.xx-xxxxx.zip       ← 下载中的包（有时还会出现奇怪的 .zip.zip）
  config.json

若 config.json 里已有：

1
2

"readyVersion": "9.9.32-51246",
"readyType": "HOT_UPDATE"

则界面就是「新版本已就绪」——不必再下载。

3. hosts（管理员编辑）

路径：C:\Windows\System32\drivers\etc\hosts

建议同时写 IPv4 + IPv6（只写 127.0.0.1 时，IPv6 仍可能通）：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

# QQNT 热更新
127.0.0.1 qqpatch.gtimg.cn
::1 qqpatch.gtimg.cn

# 实测出现过的下载 CDN（可按抓包增减）
127.0.0.1 downv6.ydcdn.tcdnos.com
::1 downv6.ydcdn.tcdnos.com
127.0.0.1 downv6.aly.tcdnos.com
::1 downv6.aly.tcdnos.com
127.0.0.1 down.ydcdn.tcdnos.com
::1 down.ydcdn.tcdnos.com
127.0.0.1 down.aly.tcdnos.com
::1 down.aly.tcdnos.com
127.0.0.1 downv6.tcdnos.com
::1 downv6.tcdnos.com
127.0.0.1 down.tcdnos.com
::1 down.tcdnos.com

然后：

1

ipconfig /flushdns

验证：

1

ping qqpatch.gtimg.cn

应指向 127.0.0.1。

4. 清掉「已就绪」的新版本

1. 托盘彻底退出 QQ
2. 删除高于目标版本的目录和 zip，例如不要的 9.9.32-*
3. 编辑 versions\config.json，保证：

1
2
3
4

"curVersion": "9.9.20-36330",
"readyVersion": "",
"readyInstaller": "",
"readyType": ""

4. 再启动 QQ

可选加固：给 versions 目录去掉普通用户的写入权限（过狠可能影响正常运行，慎用）。

5. 副作用

• qqpatch.gtimg.cn 还承载部分主题 / 动态资源，拦截后个别皮肤资源可能异常。
• tcdnos.com 若被其它腾讯下载共用，也可能受影响。

二、微信 Weixin 4.x：dldir + 本地 update 目录

1. 二进制里的下载入口

Weixin.dll 里能看到类似：

1
2
3
4

https://dldir1.qq.com
https://dldir1v6.qq.com
https://dldir1v6.qq.com/weixin/Universal/Windows/XPlugin/updateConfigUniWin.xml
https://support.weixin.qq.com/update/

老办法「只 hosts 几个 dldir」对下载有帮助，但：

1. 要补 IPv6 ::1，否则 v6 线路可能绕过；
2. 若 %AppData%\Tencent\xwechat\update\ 里已经有完整 patch，点更新照样能装。

2. 本地更新缓存长什么样

示例（版本号按你机器上的为准）：

1
2
3
4
5
6
7

%AppData%\Tencent\xwechat\update\
  download\4.1.11.55\Weixin.dll.zip
  download\4.1.11.55\Weixin.exe.zip
  download\4.1.11.55\patch.zip
  patch\4.1.11.55\Weixin.dll
  patch\4.1.11.55\Weixin.exe
  ...

同时进程列表里可能出现：

1

WeixinUpdate.exe

路径类似：

1

%AppData%\Tencent\xwechat\xplugin\plugins\WeixinUpdate\9013\extracted\WeixinUpdate.exe

3. hosts

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# 微信 / 腾讯通用下载域（IPv4 + IPv6）
127.0.0.1 dldir1.qq.com
::1 dldir1.qq.com
127.0.0.1 dldir1v6.qq.com
::1 dldir1v6.qq.com
127.0.0.1 dldir2.qq.com
::1 dldir2.qq.com
127.0.0.1 dldir3.qq.com
::1 dldir3.qq.com
127.0.0.1 dldir4.qq.com
::1 dldir4.qq.com
127.0.0.1 dldir5.qq.com
::1 dldir5.qq.com
127.0.0.1 dldir6.qq.com
::1 dldir6.qq.com

1

ipconfig /flushdns

4. 删缓存 + 锁 update 目录

1. 退出微信（含托盘）
2. 结束残留的 WeixinUpdate.exe
3. 删除整个：

1

%AppData%\Tencent\xwechat\update

4. 重建空目录后，对 update：拒绝当前用户 / Users 的写入、修改、删除（Administrators / SYSTEM 保留完全控制）。

这样即使检查到更新，也写不进缓存。

5. 防火墙拦 WeixinUpdate.exe（推荐）

Win + R → wf.msc → 出站规则 → 新建规则 → 程序 → 选中上述 WeixinUpdate.exe → 阻止连接。

插件版本目录（如 9012 / 9013）可能并存，每个路径各建一条，或更新后检查是否换了路径。

主程序 Weixin.exe 不要整进程出站全拦，容易直接没法登录/收消息。

6. 副作用

• dldir*.qq.com 是腾讯通用下载域，QQ 安装包、其它腾讯软件下载也可能受影响。
• 锁 update 后，官方热更新基本失效——对「钉死 4.1.9.30」是预期行为。

三、推荐操作顺序（想钉在 RevokeMsgPatcher 可用版本）

以目标 QQNT 9.9.20-36330、微信 4.1.9.30 为例：

1. 先确认当前就是目标版本；若更高，从历史版本仓库装回：
   • QQNT：PRO-2684/qqnt-version-history
   • 微信：cscnk52/wechat-windows-versions
2. 立刻改 hosts（QQNT 的 qqpatch + 微信的 dldir，都带 ::1）。
3. 立刻清 QQNT versions 里多余版本 + 清空 readyVersion。
4. 立刻清微信 xwechat\update，并锁写 + 拦 WeixinUpdate.exe。
5. 再运行 RevokeMsgPatcher （含 PR #1193 那套特征）。
6. 日常少点「立即更新」；看到「已就绪」优先当本地缓存，先清再谈拦域名。

四、怎么确认拦截生效

DNS

1
2

ping qqpatch.gtimg.cn
ping dldir1v6.qq.com

应解析到 127.0.0.1 / 本机。

QQNT

• versions 下不应再长出新的大体积 zip / 新版本目录；
• config.json 的 readyVersion 应保持空。

微信

• xwechat\update 下不应再出现 download\ / patch\ 大文件；
• 若仍弹更新但装不上、写目录失败，说明权限锁在起作用。

仍能下载时

1. 在下载过程中看 DNS 缓存：

1

Get-DnsClientCache | Where-Object { $_.Entry -match 'qq|weixin|gtimg|tcdnos|dldir' }

2. 看进程出站连接（Get-NetTCPConnection -OwningProcess <pid>），把新域名补进 hosts。
3. 已建立的 TCP 连接不会因改 hosts 立刻断，需退出客户端再试。

五、和 RevokeMsgPatcher 的关系（再强调一次）

防更新的目的不是「永远不用新版本」，而是：

把客户端钉在 patch 特征仍然匹配的版本上，避免热更新把防撤回打失效。

PR #1193 侧当前明确测过 / 面向的上限是：

• QQNT：9.9.20-36330（含私聊 C2C 被动撤回路径）
• 微信：4.1.9.30

版本一涨，需要重新找特征、更新 patch.json / 资源，而不是指望旧二进制一直能用。
上游合并进度、后续版本支持范围以仓库与 PR 讨论为准：
https://github.com/huiyadanli/RevokeMsgPatcher/pull/1193

六、恢复方法（简要）

1. 从改 hosts 前的备份恢复 C:\Windows\System32\drivers\etc\hosts，或删掉本文相关段落。
2. ipconfig /flushdns
3. 删除防火墙规则「Block WeixinUpdate outbound*」
4. 恢复 xwechat\update 目录权限（去掉 Deny 写入）
5. 需要升级时再走官方更新即可

小结

只拦 dldir、不管本地已就绪包，是最常见的「hosts 设了还是在更」原因。
为了配合 RevokeMsgPatcher 的版本上限，应把「拦域名 + 清缓存 + 必要时权限/防火墙」当成一套流程，而不是单点技巧。

本文2026-07-25首发于猫猫鱼的小窝，最后修改于2026-07-25

作者：catcatyu（xxx@example.com）

背景

在PC端微信的公众号列表中，经常会看到信息流广告视频，比如游戏广告。这些广告视频有时候挺有意思，想下载下来，但微信并没有提供下载按钮。比如看到这个广告视频的妹妹很好看🤪，那么应该怎么下载呢？本文以这个"三国冰河时代"游戏广告为例，介绍如何通过读取微信进程内存来提取广告视频的下载地址。

尝试一：寻找本地缓存文件（失败）

首先想到的思路是微信可能把视频缓存到了本地磁盘。微信PC端的数据目录一般在：

C:\Users\{用户名}\Documents\WeChat Files\{微信ID}\FileStorage\

该目录下有这些子目录：

Cache、Video、Image、Temp、Sns、MsgAttach ...

其中 Video 目录按月份分文件夹存放：

2024-04、2024-05、... 2025-08

但逐个检查后发现这些目录要么为空，要么只有聊天中收发的视频。公众号信息流广告的视频并不会被缓存到这里。

同样检查了 AppData 下的微信目录：

C:\Users\{用户名}\AppData\Roaming\Tencent\WeChat\
C:\Users\{用户名}\AppData\Roaming\Tencent\xwechat\

新版微信（xwechat）使用了 Chromium 内核（RadiumWMPF），有类似浏览器的缓存结构：

xwechat\radium\web\profiles\webview_{用户hash}\
xwechat\radium\web\profiles\multitab_{用户hash}\

里面有 Code Cache、IndexedDB、GPUCache 等 Chromium 标准缓存目录，但也没找到视频文件。

结论：公众号信息流广告视频是流式加载的，不会完整缓存到本地磁盘。

尝试二：通过开发者工具/远程调试（失败）

既然新版微信使用 Chromium 内核，理论上可以通过 --remote-debugging-port 参数连接 DevTools 来抓取网络请求。

查看微信进程的命令行参数：

1

Get-CimInstance Win32_Process -Filter "Name='WeChatAppEx.exe'" | Select-Object ProcessId, CommandLine

发现主进程的启动参数中并没有 --remote-debugging-port，说明远程调试未开启，这条路也走不通。

尝试三：进程内存扫描（成功）

既然视频是流式加载的，那视频的URL一定在微信进程的内存中。思路是：直接读取微信进程内存，搜索视频URL模式。

第一步：定位微信进程

1
2

Get-Process | Where-Object { $_.ProcessName -match 'wechat' } |
    Select-Object Id, ProcessName, Path

发现微信运行了多个 WeChatAppEx.exe 进程，这是典型的 Chromium 多进程架构：

我们要扫描的是主进程（没有 --type 参数的那个）。

第二步：编写内存扫描脚本

通过 PowerShell 调用 Windows API 来读取进程内存：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34

Add-Type -TypeDefinition @'
using System;
using System.Runtime.InteropServices;

public class MemoryReader {
    [DllImport("kernel32.dll")]
    public static extern IntPtr OpenProcess(
        int dwDesiredAccess, bool bInheritHandle, int dwProcessId);

    [DllImport("kernel32.dll")]
    public static extern bool ReadProcessMemory(
        IntPtr hProcess, IntPtr lpBaseAddress, byte[] lpBuffer,
        int dwSize, ref int lpNumberOfBytesRead);

    [DllImport("kernel32.dll")]
    public static extern int VirtualQueryEx(
        IntPtr hProcess, IntPtr lpAddress,
        out MEMORY_BASIC_INFORMATION lpBuffer, uint dwLength);

    [DllImport("kernel32.dll")]
    public static extern bool CloseHandle(IntPtr hObject);

    [StructLayout(LayoutKind.Sequential)]
    public struct MEMORY_BASIC_INFORMATION {
        public IntPtr BaseAddress;
        public IntPtr AllocationBase;
        public uint AllocationProtect;
        public IntPtr RegionSize;
        public uint State;
        public uint Protect;
        public uint Type;
    }
}
'@

核心逻辑是遍历进程的所有已提交内存区域（MEM_COMMIT = 0x1000），读取内容后用正则匹配视频URL：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46

$targetPid = 42172  # 微信主进程PID
$handle = [MemoryReader]::OpenProcess(0x0410, $false, $targetPid)
# 0x0410 = PROCESS_VM_READ | PROCESS_QUERY_INFORMATION

$address = [IntPtr]::Zero
$mbi = New-Object MemoryReader+MEMORY_BASIC_INFORMATION

while ([MemoryReader]::VirtualQueryEx(
    $handle, $address, [ref]$mbi,
    [uint32][Runtime.InteropServices.Marshal]::SizeOf($mbi)) -ne 0)
{
    # 只扫描已提交的、大小合理的内存区域
    if ($mbi.State -eq 0x1000 -and
        $mbi.RegionSize.ToInt64() -lt 10MB -and
        $mbi.RegionSize.ToInt64() -gt 0)
    {
        $buffer = New-Object byte[] ($mbi.RegionSize.ToInt64())
        $bytesRead = 0

        if ([MemoryReader]::ReadProcessMemory(
            $handle, $mbi.BaseAddress, $buffer,
            $buffer.Length, [ref]$bytesRead))
        {
            $text = [System.Text.Encoding]::UTF8.GetString($buffer)

            # 匹配广告视频URL模式
            $regex = 'https?://[^\x00\s"<>]{10,500}' +
                     '(?:\.mp4|mpvideo|finder.*video|wxv_|video\.qq|findermp)' +
                     '[^\x00\s"<>]{0,200}'
            $matches = [regex]::Matches($text, $regex)

            foreach ($m in $matches) {
                $url = $m.Value -replace '[\x00-\x1f]', ''
                if ($url.Length -gt 20) {
                    Write-Host $url
                }
            }
        }
    }

    $address = [IntPtr](
        $mbi.BaseAddress.ToInt64() + $mbi.RegionSize.ToInt64())
    if ($address.ToInt64() -lt 0) { break }
}

[MemoryReader]::CloseHandle($handle)

第三步：扫描结果

扫描了 2357 个内存区域，找到了 115 个视频URL，去重后主要是以下几个广告视频（来自 wxsmw.wxs.qq.com 域名）：

http://wxsmw.wxs.qq.com/.../ads_svp_video__0bc3qyabeaaacyapvlro4zurvbqeckdaaesa.f142000.mp4?dis_k=...&dis_t=1764683224&...
http://wxsmw.wxs.qq.com/.../ads_svp_video__0b53xabuuaad6aap6xr4u5ubtoaejk4agssa.f142000.mp4?dis_k=...&dis_t=1749005722&...
http://wxsmw.wxs.qq.com/.../ads_svp_video__0b53qiaowaaapmaabparcrubvaqe5obab22a.f142000.mp4?dis_k=...&dis_t=1746007401&...

URL的规律：

• 域名：wxsmw.wxs.qq.com 或 wxsnsdy.wxs.qq.com（腾讯视频CDN）
• 路径包含 ads_svp_video 标识这是广告视频
• 参数 dis_t 是时间戳，可以用来判断哪个是最近的广告
• 参数 dis_k 和 sha256 用于鉴权

第四步：确认目标视频

有多个广告视频URL，需要确认哪个是"三国冰河时代"。用同样的内存扫描方法，搜索中文关键词"三国"（注意要同时搜索 UTF-8 和 UTF-16LE 两种编码，因为 Windows 进程内存中两种编码都可能存在）：

1
2
3
4

# UTF-8 编码的"三国"
$searchUtf8 = [System.Text.Encoding]::UTF8.GetBytes('三国')
# UTF-16LE 编码的"三国"
$searchUtf16 = [System.Text.Encoding]::Unicode.GetBytes('三国')

在内存中确实找到了多处"三国冰河时代"的引用，包括：

• 公众号文章元数据："三国冰河时代挥师定山河活动解析"
• 搜索记录："query": "三国 冰河时代"
• 视频播放记录：kVideoTracks...三国 冰河时代 - 搜一搜，编码格式 h264 high

通过 dis_t 时间戳判断，最新的广告视频URL就是目标视频。

第五步：下载视频

直接用 curl 下载：

1

curl -o "三国冰河时代_广告视频.mp4" "http://wxsmw.wxs.qq.com/131/20210/snssvpdownload/SH/reserved/ads_svp_video__0bc3qyabeaaacyapvlro4zurvbqeckdaaesa.f142000.mp4?dis_k=...&dis_t=...&sha256=...&m=...&posid=..."

返回 HTTP 200，文件大小约 7MB，Content-Type: video/mp4，下载成功。

原理总结

微信公众号信息流
    ↓ 加载广告
腾讯CDN（wxsmw.wxs.qq.com）
    ↓ 流式传输视频
WeChatAppEx.exe 进程内存
    ↓ ReadProcessMemory
提取视频URL → curl下载

整个过程的关键点：

1. 公众号信息流广告视频不缓存到本地磁盘，只在进程内存中存在
2. 新版微信（xwechat）基于 Chromium 内核（RadiumWMPF），视频URL以明文形式保存在进程内存中
3. 使用 Windows API OpenProcess + VirtualQueryEx + ReadProcessMemory 可以遍历读取目标进程的内存
4. 广告视频URL的特征是域名为 wxsmw.wxs.qq.com，路径包含 ads_svp_video
5. URL中的鉴权参数（dis_k、sha256、m）有时效性，需要在有效期内下载

注意事项

• 需要以当前用户权限运行，不需要管理员权限（因为微信也是当前用户启动的）
• 视频URL中的鉴权token有时效性，过期后需要重新扫描
• 扫描过程中微信需要保持运行，且目标广告页面需要已加载过
• 此方法同样适用于提取微信中其他流式加载的媒体内容的URL

本文2026-03-15首发于猫猫鱼的小窝，最后修改于2026-03-15