如何阻止PC端夸克网盘自动更新？

Question

如何阻止PC端夸克网盘自动更新？ 许多用户反映，PC端夸克网盘在后台频繁自动检测并强制更新，影响使用体验。该更新机制缺乏关闭选项，且进程常驻系统自启动，难以通过常规设置禁用。常见问题包括：更新占用带宽、程序重启中断文件传输、旧版本功能被强制升级后丢失等。尽管尝试通过任务管理器结束更新进程或修改安装目录权限，但重启后仍会恢复。部分用户希望通过Hosts屏蔽、服务禁用或防火墙规则阻止更新请求，但缺乏明确有效的技术方案。因此，如何彻底阻止夸克网盘PC客户端的自动更新行为，成为亟需解决的技术难题。

Answer 1

1. 问题背景与现象分析

夸克网盘PC客户端作为一款轻量级云存储工具，近年来在用户中广泛使用。然而，其内置的自动更新机制缺乏用户控制选项，导致频繁后台检测、下载更新包并强制重启应用。典型表现为：

• 进程QuarkUpdater.exe常驻运行，随系统启动自动加载
• 更新期间占用大量带宽，影响其他网络操作
• 正在进行的文件传输因程序重启而中断
• 旧版本中某些功能（如离线下载、批量管理）在新版本中被移除或变更
• 即使删除更新缓存目录，重启后仍重新创建并继续更新

该行为本质上是由客户端内嵌的更新服务模块驱动，通常通过HTTP/HTTPS请求连接至update.quark.cn或类似域名进行版本比对和增量更新。

2. 技术原理剖析：更新机制的工作流程

通过对夸克网盘进程行为监控（使用Process Monitor、Wireshark等工具），可梳理出其自动更新的技术路径：

步骤	组件	通信目标	触发条件
1	Quark.exe	api.quark.cn/check_update	启动时及每30分钟轮询
2	QuarkUpdater.exe	update.quark.cn	接收到更新指令后拉起
3	Downloader	cdn.quark.cn/update	下载补丁包
4	Patcher	本地文件系统	替换核心DLL或可执行文件
5	Launcher	-	重启主程序完成升级

此过程绕过Windows Update策略，且未提供GUI开关，属于“静默强制更新”模式，常见于追求快速迭代的互联网产品。

3. 常见规避方法及其局限性

用户尝试多种方式阻止更新，但多数存在临时性或副作用：

1. 任务管理器结束进程：仅暂时有效，下次启动恢复
2. 修改安装目录权限：将Updater文件夹设为只读或拒绝写入，但程序可能以管理员权限运行绕过限制
3. 重命名Updater.exe：部分版本会校验文件完整性并自动修复
4. 禁用开机自启：可在任务管理器“启动”标签页禁用，但不影响手动启动后的更新行为
5. 杀毒软件拦截：部分安全软件可阻止特定进程联网，但需持续维护规则

这些方法均未能从根本上阻断更新链路，需更深层次干预。

4. 深度解决方案：多层级防御体系构建

为实现持久化阻止，建议采用“网络层 + 系统层 + 应用层”三位一体策略：

# 示例：防火墙命令行规则（阻止夸克更新域名）
netsh advfirewall firewall add rule name="Block Quark Update" dir=out action=block remoteip=18.144.32.0/12,52.84.0.0/15 enable=yes
# 注：IP段需根据实际抓包结果动态更新

4.1 Hosts文件屏蔽更新服务器

编辑C:\Windows\System32\drivers\etc\hosts，添加以下条目：

127.0.0.1 update.quark.cn
127.0.0.1 api.quark.cn
127.0.0.1 cdn.quark.cn
127.0.0.1 launcher.quark.cn
::1       update.quark.cn

注意：需以管理员权限保存，并防止夸克程序自身修改Hosts文件。

4.2 防火墙规则封锁出站连接

利用Windows高级防火墙创建出站规则，阻止相关进程联网：

1. 打开“高级安全Windows Defender防火墙”
2. 新建出站规则 → 程序 → 路径指向QuarkUpdater.exe
3. 操作选择“阻止连接”
4. 配置域、专用、公用网络均生效
5. 重复步骤对Quark.exe添加规则（可选）

5. 高级技巧：逆向工程辅助防护

对于具备逆向能力的开发者，可通过以下手段深入干预：

graph TD A[获取夸克安装包] --> B[使用IDA Pro/ Ghidra分析] B --> C[定位UpdateCheck函数调用] C --> D[Hook API: InternetOpenUrlA / HttpSendRequest] D --> E[返回伪造响应码304 Not Modified] E --> F[更新检测逻辑失效]

也可使用Frida等动态插桩框架注入JS脚本，拦截更新检查API调用：

Interceptor.attach(Module.findExportByName(null, "InternetOpenW"), {
    onEnter: function(args) {
        var url = args[0].readUtf16String();
        if (url.indexOf("quark.cn") !== -1 && url.indexOf("update") !== -1) {
            console.log("[Blocked] Update request to: " + url);
            this.block = true;
        }
    }
});

6. 自动化脚本维护方案

编写批处理脚本定期加固防护措施：

:: quark_update_blocker.bat
@echo off
echo Applying Quark Update Block Rules...
>> %windir%\System32\drivers\etc\hosts echo 127.0.0.1 update.quark.cn
>> %windir%\System32\drivers\etc\hosts echo 127.0.0.1 api.quark.cn
takeown /f "C:\Program Files\Quark\QuarkUpdater.exe"
cacls "C:\Program Files\Quark\QuarkUpdater.exe" /E /P everyone:N
schtasks /create /tn "QuarkBlocker" /tr "%~f0" /sc onlogon /delay 0005
exit /b

该脚本实现Hosts追加、更新程序权限剥夺及登录延迟执行，形成闭环防护。