1. 项目概述为什么我们需要“防撤回”在即时通讯软件深度融入我们工作和生活的今天微信和QQ早已超越了简单的聊天工具范畴成为了承载重要决策、商务沟通、情感交流乃至关键证据的数字载体。然而这两款国民级应用内置的“消息撤回”功能在提供“后悔药”的同时也带来了一个不容忽视的隐患当对方撤回了包含承诺、约定、报价或关键信息的消息时接收方就可能陷入被动甚至蒙受损失。这种“看得见却留不住”的焦虑催生了用户对“防撤回”功能的强烈需求。“防撤回”并非要挑战软件的设计规则其核心诉求在于信息的自主留存权。对于商务人士一份被撤回的报价可能意味着错失商机对于团队协作被修改或收回的指令可能导致工作混乱即便是日常交流一些有趣的、值得回味的对话瞬间也因为撤回而消失无踪。因此实现消息的本地化留存本质上是对自身数字信息资产的一种备份和管理。本方案旨在提供一套清晰、安全、非侵入式的实现路径通过三个核心步骤让你在对方按下“撤回”键时消息依然完好地保留在你的设备上真正做到重要信息不再“凭空消失”。2. 核心思路与技术原理拆解在动手之前我们必须理解“防撤回”功能是如何在技术上成为可能的。微信和QQ的消息撤回机制是在服务器指令下由客户端软件执行的一次本地删除和界面更新操作。我们的目标就是在这个“删除指令”到达并生效之前将消息内容“拦截”并保存下来。2.1 消息接收与处理的底层逻辑无论是微信还是QQ其客户端PC版或手机版在架构上都可以粗略分为三层网络通信层、数据解析层和UI呈现层。当你收到一条消息时数据流大致经历以下过程网络层接收从腾讯服务器接收到加密的数据包。本地解密与解析客户端使用本地密钥解密数据包并将其解析为结构化的消息对象包含发送者、接收者、时间戳、消息类型文本、图片、文件等以及最重要的——消息内容体。触发撤回指令当对方撤回时服务器会发送一个特殊的“撤回指令”数据包其中包含被撤回消息的唯一标识符如MsgId。客户端执行撤回客户端收到“撤回指令”后会在本地数据库中查找对应MsgId的消息记录将其标记为“已撤回”并通知UI层更新界面通常是将消息替换为“某某撤回了一条消息”的提示。2.2 防撤回的三种技术路径基于上述流程实现防撤回升级主要有三种思路其复杂度和安全性各不相同内存Hook钩子技术这是最直接、最底层的方法。通过注入代码DLL注入、API Hook等在消息数据被解析后、即将传递给UI渲染函数或存入数据库之前将其截获并复制一份到我们自己的存储中。即使后续收到撤回指令原消息已被我们“另存为”不再受客户端删除操作的影响。这种方法效果最好但技术门槛高涉及逆向工程且极易因客户端更新而失效存在安全风险可能被安全软件误报为病毒。本地数据库实时备份微信和QQ的聊天记录都存储在本地的一个加密数据库文件中如PC版微信的Msg文件夹下的.db文件。我们可以编写一个程序以很高的频率例如每秒去监控这个数据库文件的变化。一旦检测到有新消息插入就立即将其读取并备份到另一个独立的数据库或文件中。当撤回发生时原数据库的记录会被修改或标记但我们备份的副本早已存在。这种方法相对稳定不直接修改客户端内存但需要破解数据库的加密格式并且实时监控对系统资源有一定消耗。网络流量抓包与解析使用像Wireshark、Fiddler这样的抓包工具或者自己编写程序绑定到客户端的网络端口截获所有进出微信/QQ的网络数据包。通过分析数据包结构识别出“新消息”包和“撤回指令”包。当发现“新消息”包时直接解析并保存内容当发现“撤回指令”包时忽略它或记录日志。这种方法完全独立于客户端但技术难度极大需要精确还原腾讯的私有通信协议且对于启用强加密的流量如TLS 1.3几乎不可行。我们的“三步走”方案将主要采用第二种思路的变体——基于公开的、稳定的第三方工具或库来实现对本地消息的访问与备份兼顾了可行性、安全性和易用性。我们不会去逆向官方客户端而是利用一些开源社区已经探索出的、相对稳定的接口或文件格式进行读取。3. 环境准备与工具选型工欲善其事必先利其器。在开始三步操作之前我们需要准备好相应的软件环境。整个方案将围绕PC平台Windows展开因为PC端的数据文件访问相对更直接生态工具也更成熟。3.1 核心工具介绍数据库查看/编辑工具DB Browser for SQLite作用微信PC版的聊天记录存储在SQLite加密数据库中。我们需要一个能打开并操作SQLite数据库的工具。DB Browser for SQLite是免费、开源、图形化界面友好的选择。为什么选它相比命令行工具图形界面更直观便于我们浏览表结构、执行查询特别适合初学者验证数据。它支持直接执行SQL语句也支持导出数据。Python 3.x 及关键库作用我们将使用Python编写主要的消息备份与监控脚本。Python语法简洁库生态丰富是完成此类任务的理想语言。必需库sqlite3Python标准库用于连接和操作SQLite数据库。pycryptodome或cryptography用于解密微信数据库所需的密钥。微信使用了AES等加密算法我们需要用这个库来还原解密过程。watchdog一个优秀的目录文件变化监控库。我们可以用它来实时监控微信聊天记录数据库文件的变化一旦有更新即新消息就触发我们的备份逻辑。requests(可选)如果你希望将备份的消息同步到自己的服务器或Webhook进行二次处理如推送到手机通知则需要此库。微信/QQ PC版作用当然是消息的来源。请确保已登录。重要提示所有操作请在个人学习研究目的下进行切勿用于侵犯他人隐私或从事非法活动。3.2 关键文件路径定位这是整个方案的基础如果找不到正确的文件后续所有步骤都无法进行。微信PC版Windows默认消息存储路径C:\Users\[你的用户名]\Documents\WeChat Files\[你的微信ID]\Msg\核心数据库文件Multi文件夹下的MSGx.db文件例如MSG0.db,MSG1.db。这些文件存储了具体的聊天消息。MicroMsg.db文件存储了联系人、聊天列表等元信息。如何找到你的微信ID在微信PC版左下角菜单栏点击“更多”三个横线选择“设置” - “文件管理”上面显示的“文件管理”路径中WeChat Files\后面的那一串字母数字组合就是你的微信ID。QQ PC版WindowsQQ的数据存储更为分散和复杂且不同版本NT架构新版 vs 传统版路径不同。传统版路径可能在C:\Users\[你的用户名]\Documents\Tencent Files\[你的QQ号]。但QQ的消息数据库 (Msg3.0.db) 通常使用了更复杂的自定义格式或加密直接解析难度远高于微信。鉴于QQ的复杂性本方案将主要聚焦于微信防撤回的实现。QQ的实现思路类似但需要寻找针对QQ数据库的特定解密和解析方法这通常依赖于社区内更小众、更不稳定的逆向成果不适合作为通用方案讲解。注意在进行任何操作前强烈建议将整个WeChat Files\[你的微信ID]文件夹复制备份到其他位置。任何对原始数据库的直接修改都有可能导致数据损坏或微信无法正常启动。4. 三步实现详解接下来我们进入核心的三个步骤。整个过程可以概括为获取密钥 - 监控并解密 - 保存消息。4.1 第一步提取微信数据库解密密钥微信的MSGx.db文件是使用SQLCipher加密的一种基于SQLite的加密扩展。要读取它你需要两个东西密钥Key和加密算法参数如KDF迭代次数。幸运的是这个密钥就保存在你电脑的注册表中。操作步骤打开注册表编辑器按Win R输入regedit回车。导航到密钥路径依次展开以下路径计算机\HKEY_CURRENT_USER\Software\Tencent\WeChat查找关键值在WeChat项下你会看到一些类似7890abcd...的子项这些可能对应不同的微信安装或用户配置。你需要逐个查看找到包含Key和Salt等二进制值的项。一个常见的路径是WeChat\Files下的某个随机字符串命名的文件夹内。更可靠的方法是在WeChat项上右键“查找”搜索关键词Key类型为REG_BINARY。记录密钥值找到名为Key的二进制值双击打开你会看到一串十六进制数字。将其完整地复制记录下来例如1234567890abcdef...。同时也记录下Salt的值如果有。通常微信使用的迭代次数是64000。自动化脚本Python示例手动查找比较麻烦我们可以写一个小脚本来完成。以下代码演示了从注册表读取密钥的思路需要winreg模块仅限Windows。import winreg def get_wechat_db_key(): 尝试从注册表获取微信数据库解密密钥 注意路径可能因微信版本而异此代码为示例可能需要调整。 try: # 打开微信的注册表项 key_path rSoftware\Tencent\WeChat wechat_key winreg.OpenKey(winreg.HKEY_CURRENT_USER, key_path, 0, winreg.KEY_READ) # 通常密钥在 WeChat\Files\随机串 下这里需要遍历或已知路径 # 这里简化处理假设在 WeChat 根目录下有相关值实际情况可能更深 for i in range(0, winreg.QueryInfoKey(wechat_key)[0]): subkey_name winreg.EnumKey(wechat_key, i) # 尝试打开子项寻找Key try: subkey winreg.OpenKey(wechat_key, subkey_name) try: db_key, _ winreg.QueryValueEx(subkey, Key) # 将二进制字节转换为十六进制字符串 key_hex db_key.hex() print(f[] 找到数据库密钥: {key_hex}) return key_hex except FileNotFoundError: pass finally: winreg.CloseKey(subkey) except Exception as e: continue winreg.CloseKey(wechat_key) except Exception as e: print(f[-] 读取注册表失败: {e}) return None if __name__ __main__: key get_wechat_db_key() if key: print(f密钥: {key}) else: print(未找到密钥可能需要手动查找或路径已变更。)实操心得微信的注册表结构可能会随着版本更新而改变。如果上述方法找不到可以尝试使用Process Monitor这样的高级监视工具在微信启动时监视其对注册表的读取操作从而定位准确的密钥路径。这是逆向工程中常用的动态分析手段。4.2 第二步编写消息监控与备份脚本这是最核心的一步。我们将编写一个Python脚本它主要做两件事实时监控使用watchdog库监听MSGx.db文件所在目录通常是...\Msg\Multi\的文件变化事件。解密与保存当检测到目标数据库文件被修改即可能写入了新消息时使用第一步获取的密钥连接数据库查询最新的消息并将其解密、保存到我们自己的备份数据库中。脚本核心代码结构import sqlite3 import hashlib from Crypto.Cipher import AES from Crypto.Util.Padding import unpad import os from watchdog.observers import Observer from watchdog.events import FileSystemEventHandler import time import json # 配置部分 WECHAT_ID 你的微信ID # 替换成你的 MY_WECHAT_DB_DIR fC:/Users/你的用户名/Documents/WeChat Files/{WECHAT_ID}/Msg/Multi/ DB_KEY_HEX 从第一步获取的密钥 # 64位十六进制字符串 BACKUP_DB_PATH wechat_msg_backup.db # SQLCipher 解密函数 (简化版实际需处理KDF) def decrypt_wechat_db(original_db_path, key_hex): 这是一个概念性函数实际解密需要完整的SQLCipher流程。 社区有开源库如 sqlcipher3 或 pysqlcipher3 可以直接用密钥打开数据库。 这里演示使用 sqlcipher3 的假设用法。 # 注意pysqlcipher3 在Python 3.9上可能安装困难sqlcipher3 是另一个选择。 # 以下代码仅为逻辑示意。 try: # 假设我们使用一个可以处理SQLCipher的数据库驱动 # conn sqlite3.connect(ffile:{original_db_path}?key{key_hex}) # 更实际的做法使用命令行工具 sqlcipher 先解密数据库或者使用纯Python实现PBKDF2和AES解密整个文件。 # 由于复杂度此处省略具体解密代码块。实际项目中可考虑调用subprocess执行sqlcipher命令行。 print(f尝试解密数据库: {original_db_path}) # 解密成功后返回一个临时的解密后数据库文件路径或内存数据库连接 return decrypted_temp.db except Exception as e: print(f解密失败: {e}) return None class WeChatDBHandler(FileSystemEventHandler): 监控微信数据库目录变化的处理器 def on_modified(self, event): if not event.is_directory and event.src_path.endswith(.db): print(f[*] 检测到数据库变化: {event.src_path}) # 避免频繁触发可以加一个防抖延迟 time.sleep(0.5) self.backup_new_messages(event.src_path) def backup_new_messages(self, db_path): 备份新消息到本地数据库 # 1. 解密数据库这里调用上述解密函数实际需完整实现 decrypted_db decrypt_wechat_db(db_path, DB_KEY_HEX) if not decrypted_db: return # 2. 连接解密后的数据库 try: conn_temp sqlite3.connect(decrypted_db) cursor_temp conn_temp.cursor() # 3. 查询消息表。微信的消息表名可能是 Message但版本不同有差异需要自己探索。 # 常用查询 SELECT * FROM Message WHERE Type1 ORDER BY CreateTime DESC LIMIT 10; (Type1可能是文本消息) cursor_temp.execute(SELECT MsgId, Type, Content, CreateTime, Sender, ChatRoomId FROM Message ORDER BY CreateTime DESC LIMIT 20) new_msgs cursor_temp.fetchall() conn_temp.close() # 4. 连接我们自己的备份数据库 conn_backup sqlite3.connect(BACKUP_DB_PATH) cursor_backup conn_backup.cursor() # 创建备份表如果不存在 cursor_backup.execute(CREATE TABLE IF NOT EXISTS messages (id INTEGER PRIMARY KEY AUTOINCREMENT, msg_id TEXT UNIQUE, msg_type INTEGER, content TEXT, create_time INTEGER, sender TEXT, chatroom_id TEXT, backup_time TIMESTAMP DEFAULT CURRENT_TIMESTAMP)) # 5. 将新消息插入备份表忽略重复根据msg_id判断 for msg in new_msgs: try: cursor_backup.execute(INSERT OR IGNORE INTO messages (msg_id, msg_type, content, create_time, sender, chatroom_id) VALUES (?, ?, ?, ?, ?, ?), msg) except sqlite3.IntegrityError: pass # 重复消息忽略 conn_backup.commit() conn_backup.close() print(f[] 已备份 {len(new_msgs)} 条新消息到 {BACKUP_DB_PATH}) # 6. 清理临时解密文件 if os.path.exists(decrypted_db): os.remove(decrypted_db) except sqlite3.Error as e: print(f[!] 数据库操作错误: {e}) except Exception as e: print(f[!] 备份过程发生未知错误: {e}) def main(): # 确保备份数据库存在 if not os.path.exists(BACKUP_DB_PATH): open(BACKUP_DB_PATH, w).close() event_handler WeChatDBHandler() observer Observer() observer.schedule(event_handler, MY_WECHAT_DB_DIR, recursiveFalse) observer.start() print(f[*] 开始监控目录: {MY_WECHAT_DB_DIR}) try: while True: time.sleep(1) except KeyboardInterrupt: observer.stop() print(\n[*] 监控已停止。) observer.join() if __name__ __main__: main()注意事项解密库的选用上述代码中的decrypt_wechat_db函数是最大的难点和简化点。在实际中你需要集成完整的SQLCipher解密流程。一个更可行的方案是使用现成的开源项目例如wechat-dump、WeChatMsg等它们已经封装好了密钥提取、数据库解密和消息解析的逻辑。你可以直接引用或借鉴其代码。表结构探索微信数据库的表结构并非公开文档需要通过DB Browser for SQLite打开解密后的数据库可以先手动解密一次查看有哪些表分析Message、Chat等关键表的结构。Type字段代表消息类型1文本3图片34语音43视频等Content字段可能需要进一步解析特别是非文本消息它是一个XML或包含路径的字符串。性能与防抖数据库文件可能在短时间内被频繁写入群聊活跃时直接在on_modified事件中处理可能导致脚本卡死或重复处理。加入延迟 (time.sleep) 和去重逻辑基于MsgId至关重要。4.3 第三步构建消息查看与防撤回界面备份了消息还不够我们需要一个方便的方式来查看这些“防撤回”的消息。这里我们可以创建一个简单的本地Web界面使用Python的Flask框架快速搭建。Flask应用核心代码from flask import Flask, render_template, request, jsonify import sqlite3 import json app Flask(__name__) BACKUP_DB wechat_msg_backup.db def get_messages(limit100, chatroomNone): 从备份数据库获取消息 conn sqlite3.connect(BACKUP_DB) conn.row_factory sqlite3.Row # 使返回的行像字典 cursor conn.cursor() query SELECT * FROM messages ORDER BY create_time DESC params [] if chatroom: query WHERE chatroom_id ? params.append(chatroom) query LIMIT ? params.append(limit) cursor.execute(query, params) rows cursor.fetchall() conn.close() # 将行对象转换为字典列表 messages [dict(row) for row in rows] # 简单处理内容如果是文本直接显示如果是XML可以尝试提取文字这里简化 for msg in messages: if msg[msg_type] 1: # 假设1是文本 # 内容可能包含换行等确保在HTML中正确显示 msg[content_display] msg[content].replace(\n, br) else: msg[content_display] f[非文本消息类型: {msg[msg_type]}] # 转换时间戳为可读格式 import datetime if msg[create_time]: msg[time_str] datetime.datetime.fromtimestamp(msg[create_time]).strftime(%Y-%m-%d %H:%M:%S) else: msg[time_str] N/A return messages app.route(/) def index(): 主页显示最近的消息列表 messages get_messages(limit50) # 获取唯一的聊天室列表用于筛选 conn sqlite3.connect(BACKUP_DB) cursor conn.cursor() cursor.execute(SELECT DISTINCT chatroom_id FROM messages WHERE chatroom_id IS NOT NULL) chatrooms [row[0] for row in cursor.fetchall()] conn.close() return render_template(index.html, messagesmessages, chatroomschatrooms) app.route(/api/messages) def api_messages(): 提供JSON API供前端动态加载 limit request.args.get(limit, default50, typeint) chatroom request.args.get(chatroom, defaultNone, typestr) messages get_messages(limitlimit, chatroomchatroom) return jsonify(messages) if __name__ __main__: # 调试模式仅本地访问 app.run(debugTrue, host127.0.0.1, port5000)对应的HTML模板 (templates/index.html)!DOCTYPE html html head title微信消息防撤回备份查看器/title style body { font-family: sans-serif; margin: 20px; } .message { border-bottom: 1px solid #eee; padding: 10px; margin-bottom: 5px; } .sender { font-weight: bold; color: #007bff; } .time { font-size: 0.8em; color: #6c757d; } .content { margin-top: 5px; } .controls { margin-bottom: 20px; } select, input, button { padding: 5px 10px; margin-right: 10px; } /style /head body h1防撤回消息备份库/h1 div classcontrols label筛选聊天/label select idchatroomSelect option value全部聊天/option {% for room in chatrooms %} option value{{ room }}{{ room }}/option {% endfor %} /select label显示条数/label input typenumber idlimitInput value50 min1 max500 button onclickloadMessages()刷新/button /div div idmessageList {% for msg in messages %} div classmessage span classsender{{ msg.sender or msg.chatroom_id }}/span span classtime{{ msg.time_str }}/span div classcontent{{ msg.content_display | safe }}/div /div {% endfor %} /div script function loadMessages() { const chatroom document.getElementById(chatroomSelect).value; const limit document.getElementById(limitInput).value; fetch(/api/messages?limit${limit}chatroom${encodeURIComponent(chatroom)}) .then(response response.json()) .then(data { const container document.getElementById(messageList); container.innerHTML ; data.forEach(msg { const msgDiv document.createElement(div); msgDiv.className message; msgDiv.innerHTML span classsender${msg.sender || msg.chatroom_id || 未知}/span span classtime${msg.time_str}/span div classcontent${msg.content_display}/div ; container.appendChild(msgDiv); }); }); } // 页面加载时绑定筛选器变化事件 document.getElementById(chatroomSelect).addEventListener(change, loadMessages); document.getElementById(limitInput).addEventListener(change, loadMessages); /script /body /html运行与使用将上述Flask代码保存为app.pyHTML文件放在templates文件夹下。在命令行中进入脚本所在目录运行python app.py。打开浏览器访问http://127.0.0.1:5000你就能看到一个简单的本地网页展示所有备份的消息并且可以按聊天进行筛选。至此一个完整的、基于本地备份的微信防撤回系统就搭建完成了。它由后台监控脚本和前端查看界面构成消息一旦被微信客户端接收并存入本地数据库就会被我们的脚本迅速备份即使对方撤回原始消息也早已躺在你的备份库里了。5. 常见问题与排查技巧实录在实际操作中你几乎一定会遇到各种问题。下面是我在多次尝试和帮助他人过程中总结的“避坑指南”。5.1 数据库解密失败问题现象脚本报错无法打开数据库提示“文件不是数据库”或“解密失败”。排查思路密钥错误这是最常见的原因。确认从注册表提取的密钥是完整的64位十六进制字符串128位。使用DB Browser for SQLite手动尝试用该密钥打开数据库如果失败说明密钥不对。尝试在注册表中搜索所有包含Key的二进制值。数据库路径错误确认MY_WECHAT_DB_DIR指向了正确的Msg/Multi/目录。注意微信可能同时打开多个数据库文件MSG0.db,MSG1.db...你的脚本需要能处理所有这些文件或者监控父目录。微信版本更新腾讯可能更新加密算法或密钥存储方式。关注相关开源项目如wechat-dump的Issue页面看是否有其他人遇到同样问题。SQLCipher版本不匹配微信使用的SQLCipher版本可能比较旧。尝试在解密时指定更兼容的参数例如在连接字符串中加入cipher_compatibility3。5.2 监控脚本不触发或重复触发问题现象脚本启动后收不到新消息或者一条消息被重复备份多次。排查技巧检查监控目录权限确保Python脚本有权限读取WeChat Files目录。验证文件系统事件在on_modified事件处理函数开头打印event.src_path看是否确实是.db文件被修改。有时系统可能会产生其他无关的事件。实现防抖Debounce数据库文件可能在毫秒级内被多次写入。修改事件处理函数记录最后一次处理的时间戳如果距离上次处理时间太短如小于1秒则跳过本次处理。基于消息ID去重在插入备份数据库时使用INSERT OR IGNORE并设置msg_id为UNIQUE字段这是最根本的去重保障。5.3 备份的消息内容乱码或无法解析问题现象备份的文本消息是乱码或者图片、语音消息只存了一个无法识别的字符串。解决方案文本编码微信数据库可能使用UTF-8或GBK编码。如果直接读出来是乱码尝试content.encode(latin1).decode(utf-8)或content.encode(latin1).decode(gbk)进行转换。非文本消息Type不是1的消息其Content字段通常是一个XML字符串。你需要解析这个XML来获取真正的资源信息。例如图片消息的XML里可能包含图片的MD5值和相对路径。你需要根据这个路径在微信的文件存储目录FileStorage下找到对应的图片文件并复制出来。这是一个更高级的解析过程可以参考开源项目WeChatMsg中对Message表的详细解析代码。5.4 脚本被安全软件拦截问题现象杀毒软件如Windows Defender、火绒等报毒甚至直接删除你的Python脚本或生成的备份数据库。应对策略添加信任在安全软件中将你的脚本目录和Python解释器添加为信任项。代码公开透明使用纯Python脚本避免使用来源不明的可执行文件.exe。安全软件对读取注册表、监控文件系统的行为比较敏感纯脚本相对好一些。使用PyInstaller打包时的注意事项如果你将脚本打包成.exe方便分发这种敏感行为更容易被报毒。可以考虑使用--noconsole和--onefile参数并确保在打包前对代码进行充分说明在代码开头添加详细注释说明功能但这不保证完全免杀。最安全的方式还是在受信任的环境下直接运行Python源码。5.5 关于QQ防撤回的补充说明正如前文所述QQ的实现难度更高。如果你确实需要可以关注以下方向寻找现成工具在GitHub等平台搜索qq anti-recall、qq message backup等关键词可能会有一些开源项目或工具。但请注意这些工具可能更新不及时且安全风险未知务必在虚拟机或备用电脑上谨慎测试。逆向思路QQ的数据库加密更强且消息可能分散在多个文件。一个可行的思路是监控QQ的进程内存因为消息在撤回前必然会在内存中以明文形式存在。但这需要更高的逆向工程技术和C/C编程能力涉及到注入和内存扫描远超本文的范畴且法律和安全风险极大仅建议在完全合法合规且深度技术研究的背景下进行。整个“防撤回”方案的实现是一个对即时通讯软件本地数据管理机制的探索过程。它融合了文件监控、数据库解密、Web开发等多个知识点。成功实现后你不仅能防止消息被撤回更能深入理解客户端软件的数据存储逻辑这对于从事安全研究、数据分析或自动化工具开发都大有裨益。记住技术是一把双刃剑请务必在法律和道德框架内合理使用。
