research(wechat): 贴图号发布改用 LSPosed 排查提交调用，两个候选均证伪

改用文字/图片/语音发送同一套 LSPosed 机制（Zygote fork 时挂钩，非 Frida spawn/attach），彻底避开了此前两次搞坏微信主进程的问题——全程真机验证零故障。追踪链路 js1.m.c()(brandservice/webview transfer 汇聚点) → wire cgi bizh5webtransfer，真机确认全程只有只读态 mp.weixin.qq.com 调用，没有提交语义。进一步反编译 LuggageUploadMediaFileManager 追出图片走独立 CDN 服务 m11.l0.d1()，同样零触发。两个最有希望的候选均被真机数据证伪，真正的提交调用点仍未定位，可能是完全独立的第三条路径。三个新增 hook（hookBrandservicePublishTransfer/hookAnyCgiCapture/ hookBrandserviceCdnUpload）均已装进 WeChatHook.java，base+Tinker CL 全覆盖，可复用于下一轮排查。

research(wechat): 贴图号发布改用 LSPosed 排查提交调用，两个候选均证伪
改用文字/图片/语音发送同一套 LSPosed 机制（Zygote fork 时挂钩，非 Frida spawn/attach），彻底避开了此前两次搞坏微信主进程的问题——全程真机验证零故障。追踪链路 js1.m.c()(brandservice/webview transfer 汇聚点) → wire cgi bizh5webtransfer，真机确认全程只有只读态 mp.weixin.qq.com 调用，没有提交语义。进一步反编译 LuggageUploadMediaFileManager 追出图片走独立 CDN 服务 m11.l0.d1()，同样零触发。两个最有希望的候选均被真机数据证伪，真正的提交调用点仍未定位，可能是完全独立的第三条路径。三个新增 hook（hookBrandservicePublishTransfer/hookAnyCgiCapture/ hookBrandserviceCdnUpload）均已装进 WeChatHook.java，base+Tinker CL 全覆盖，可复用于下一轮排查。
yibo
1 parent 645c4d30
Showing 2 changed files with 268 additions and 0 deletions
wechat_send_internal/BRANDSERVICE_PUBLISH_RESEARCH.md
xhs_lsposed_a16_fix/wechathook_src/WeChatHook.java
@@ -239,6 +239,66 @@ API 用）。
 ---
+## 四、路线修正：改用 LSPosed（跟文字/图片/语音发送同一套机制），彻底解决主进程注入问题
+
+用户指出关键盲点：文字/图片/语音发送逆向全程用的是 **LSPosed**（`xhs_lsposed_a16_fix/wechathook_src/WeChatHook.java`，Zygote fork 时随进程诞生自动挂钩子），从没出过问题；这次改用 Frida spawn/attach 才两次真实搞坏微信。根因很清楚：**LSPosed 挂钩发生在系统自己的进程创建路径里（Zygote fork），不是外部 ptrace 注入一个已经在跑/刚起来的进程**，没有"抢在类加载膨胀前注入"这种时序竞争，自然不会撞上 Frida 那两次事故的问题。
+
+### 4.1 改造 WeChatHook.java，加 `hookBrandservicePublishTransfer`
+
+在 `handleLoadPackage`（base classloader）和 App.onCreate 的 Tinker 重挂钩块（`sTinkerCL`）**两处都注册**——微信这版本 `js1.m` 类实际加载在 Tinker 补丁里，只挂 base CL 那份**装得上但永远不触发**（跟以前语音/图片踩过的"base CL vs Tinker CL"坑一模一样，见 [[wechat-voice-send-internals]]）。两处都挂上后，`js1.m.c(TransferRequestInfo, callback)` 在 base + Tinker CL、主进程 + push + appbrand0/1 全部确认 hook 成功（`hooked js1.m.c x1`），**微信全程运行正常，没有任何"无法连接服务器"/"点不动"问题**——证实了用户的判断：LSPosed 这条路径本身没问题，问题出在 Frida spawn/attach 这个注入方式上。
+
+字段映射（现场验证）：
+```
+TransferRequestInfo { d=type(int), e=h5Url, f=scope, h=y24(Lr45/y24;), n=needVerifySignature, i=is_security_check }
+y24 { d=reqUrl, e=reqBody(JSON串), f=cgiCmdId, h=method, g=LinkedList<cw3> headers }
+cw3 { d=key, e=value }
+```
+
+### 4.2 真机捕获：js1.m.c() 全程只看到 webview 支持性调用，没看到"提交发布"
+
+真人走一遍"我的作品"发布流程（POI 选点→编辑→发布→查看结果），`js1.m.c()` 命中 ~58 次，`reqUrl` 全部是明文可读的 `mp.weixin.qq.com/mp/*`：`photo_account_poi_feed`（选点）、`creationcenter`（创作中心）、`appmsg_comment`/`appmsgthank`/`getappmsgext`/`getappmsgad`/`getbizbanner`/`searchwordbaike`/`wapcommreport`（这些全是**发布完之后自动打开文章预览页产生的阅读态/统计上报调用**，含 `publish_time=` 字段证实文章确已发布成功）。**全程没有一次 `reqBody != null` 或看起来像"提交内容"的调用**——`scope=mmbizmp_web` 型调用（reqBody 恒为 null）看起来是把 `reqUrl` 当成普通网页 GET 打，跟真正提交表单/上传图片的调用形态不同。
+
+### 4.3 排查了两个疑似候选，都证伪
+
+加了 `hookAnyCgiCapture`（复用 `hookVoiceCgiCapture` 的通用 cgi 捕获逻辑，去掉 `uploadvoice` 过滤，改成不设限一律记录 `com.tencent.mm.modelbase.l.a()` 的每次调用）验证还有没有其它内部二进制 cgi 调用可能是真正的提交：
+
+- **`/cgi-bin/mmbiz-bin/wxartrappsvr/route`（150 次，同窗口最高频）**：反编译排除——追完整条 `js1.m.c()→js1.h→js1.o（获取 h5auth token）→js1.g.a（回调）→ks1.g.b（真正 dispatch）→ks1.h.c()（动态路由型 requester，构造实际请求用的是 `Lr45/ou3`/`Lr45/su3`，cgi url 来自服务器下发的路由表 `Ljs1/s;->e` 缓存，不是硬编码的 wxartrappsvr）`——js1.m.c() 这条链路真正落地的 wire cgi 是 **`/cgi-bin/micromsg-bin/transfer/bizh5webtransfer`**（`r45.ou3`/`r45.su3`，58 次，跟 js1.m.c() 命中次数基本对上，`ou3.d` 字段直接内嵌整个 `y24` 子消息，我们已经从 js1.m.c() 直接拿到了同样的数据，只是没用扁平字段扫描器去 wxartrappsvr/route 的 `r45.zt5`/`r45.au5` 硬翻，翻了也是空——那是完全不相关的另一个机制，大概率是小程序通用心跳/保活（附近有 `js-operatewxdata-keepalive`），跟贴图号发布无关，是这次会话的干扰项，不是漏网的真身）。
+- **`/cgi-bin/micromsg-bin/newsendmsg`（1 次）**：时间戳对不上（14:18:59，早于 14:59 左右的真实发布窗口），是无关的背景消息活动，不是这次发布触发的。
+- **`getphotoworks` / `get_me_tab_pho_items`（各 1-2 次，用 `w71.o1`/`w71.p1` 通用信封，跟 `mp/profile`/`mp/acct` 共用同一对协议类）**：命名和触发时机（打开"我的作品"入口附近）都像是刷新"作品列表"，不是新建。
+- 全程扫了所有 `reqUrl` 里的 `action=` 参数值，只有 `get_*`/`batch_report`/`getcomment`/`send_status` 这类读/上报语义，没有任何 `publish`/`post`/`create`/`submit` 字样。
+
+### 4.4 现状：提交发布的具体调用仍未定位，但基础设施已经完全打通
+
+**没找到"是哪次调用真正创建了这条贴图号动态"**，但已经排除了目前想到的所有候选，且证实：
+1. LSPosed 路线安全可靠（这次全程真机验证零故障），Frida spawn/attach 主进程那条路线（§3.6/3.7）**不再需要**——有更安全的替代方案。
+2. `js1.m.c()` + `hookAnyCgiCapture`（通用 cgi 捕获）两个钩子都已在 `WeChatHook.java` 里长期驻留、可复用，改改过滤条件就能对着任意后续假设重新抓。
+3. 真正的提交调用要么是：①落在我们观察窗口之外（用户操作比预想快，提交发生在按下"发布"瞬间，捕获时机没对齐——需要更精细的时间戳比对，或者干脆常驻抓一整晚不设窗口）；②走了一条完全不同、不经过 `TransferRequestInfo`/`modelbase.l` 的原生路径（类似图片消息发送 `b80.u.oj` 那种非 h5transfer 的二进制上传通道，更可能，因为提交要带图片二进制数据，用一个设计给"文本 JSON reqBody"的桥接机制传大图不合常理）。
+
+**下一步（未做，需要用户决策）**：如果要继续，建议方向是①把 `hookAnyCgiCapture` 常驻挂着，不设时间窗口，用户任意时间点发布一次，回头翻完整 log 找提交调用的准确时间戳；②或者反过来想——参考 `wechat-image-send-internals.md` 记录的图片消息发送链路（`b80.u.oj`/`o70.k`/`o70.h`，走的是二进制 CDN 上传+插库，不是 h5transfer），贴图号发布很可能也是类似的"图片走独立 CDN/上传通道，只有文字元数据走 h5transfer"的混合模式，值得直接搜 `plugin/brandservice` 包里有没有专属的图片上传 NetScene/CDN 提交方法，而不是继续在 `js1.m`/`ks1.*` 这条纯文本 transfer 链路里找。
+
+### 4.5 第二个候选也证伪：图片 CDN 服务 `m11.l0.d1()` 没有触发
+
+顺着 `LuggageUploadMediaFileManager$UploadMediaFileTask.z()`（webview 的图片上传 IPC 任务壳）往下追，找到一个跟消息发图（`v70.w.oj`/`b80.u.oj`）完全不同的**独立 CDN 提交服务**：`Lm11/l0;->d1(Lk70/h0;ZJ)Lm11/b0;`（`m11.l0` 单例经 `Lm11/b1;->Di()` 拿到）。加了 `hookBrandserviceCdnUpload`（before+after 都 dump，`k70.h0`=提交参数 ~17 字段，`m11.b0`=CDN 结果 ~40 字段）在 base+Tinker CL、全进程装上，真机确认 hook 安装无误、微信全程正常。
+
+真人再走一遍完整发布流程（POI→编辑→发布→查看结果）：**`m11.l0.d1()` 全程零次触发**，`js1.m.c()`/`bizh5webtransfer` 命中数（63 次）和 URL 分布跟上一轮（4.2/4.3）几乎一模一样，仍然全是 `mp.weixin.qq.com` 只读态调用，没有任何 `action=publish/post/create/submit` 语义。**两个最有希望的候选（文本 transfer 桥 + 图片 CDN 服务）都被真机数据证伪**。
+
+### 4.6 现状总结（截至本轮）
+
+排除法进展：
+- ❌ `js1.m.c()`（brandservice/webview JS-API transfer 汇聚点）——只见只读态调用
+- ❌ `Ljs1/m;` 对应的 wire cgi `bizh5webtransfer`——同上，没有提交语义
+- ❌ `wxartrappsvr/route`（表面最高频）——反编译证实是小程序心跳/保活，无关
+- ❌ `newsendmsg`——时间戳对不上，无关背景消息
+- ❌ `m11.l0.d1()`（webview 图片上传 CDN 服务）——零触发
+
+真机验证过程本身完全安全（LSPosed 全程零故障，跟用户此前文字/图片/语音发送逆向经验一致），但**核心问题仍未解决**：提交发布的真实调用点还没找到。可能性：
+1. 提交发生在某个我们还没识别的第三条路径（Flutter 侧直接走 platform channel 调 native，完全绕开 `TransferRequestInfo`/`modelbase.l`/`m11.l0` 这三层已知桥接）。
+2. 或者提交时机跟我们以为的不一致（比如"发布"按钮按下后有明显延迟才真正提交，我们的操作窗口理解有误差）。
+
+本轮结束时决定：鉴于已经连续多轮真机验证都是负结果，且今天会话已经很长（6+ 轮真人发布配合 + 2 次 Frida 主进程事故 + 多轮 LSPosed 验证），暂停在此，留给用户决定是否继续投入，还是改走"半自动"方案（人工点发布，工具只管生成图片+文案）。
+
+---
+
 ## 四、现场状态（写这份记录时）
 - 设备上所有 mitm/iptables/CA 改动均已清理（见上文事故记录），微信网络恢复正常。
@@ -183,6 +183,23 @@ public class WeChatHook implements IXposedHookLoadPackage {
         // Capture the real uploadvoice cgi request (this device uses inline-cgi, not CDN).
         hookVoiceCgiCapture(cl, lpparam.processName);
         hookVoiceCgiResult(cl, lpparam.processName);
+
+        // 贴图号发布逆向（wechat_send_internal/BRANDSERVICE_PUBLISH_RESEARCH.md §3.5）:
+        // both the mini-program (k2/y7) path and the WebView "luggage" JS-API path
+        // funnel into this one sink before dispatch (local coroutine or IPC to
+        // PROCESS_MAIN). Read-only: dumps TransferRequestInfo/y24 fields, does not
+        // touch args or return value. LSPosed-installed (Zygote-time), NOT a live
+        // Frida spawn/attach — that approach broke WeChat's main-process cold start
+        // twice in one session (see doc §3.6/3.7); this hook exists precisely to
+        // avoid repeating that mistake.
+        hookBrandservicePublishTransfer(cl, lpparam.processName);
+        // Broad catch-all: js1.m.c() only ever saw plain webview traffic for this flow
+        // (§3.9), so also watch the generic internal-cgi builder unfiltered in case the
+        // real publish submission is a native NetScene call instead.
+        hookAnyCgiCapture(cl, lpparam.processName);
+        // Image submission for brandservice: js1.m.c()/bizh5webtransfer never showed a
+        // submit call, traced instead to a separate CDN service (§4 of doc).
+        hookBrandserviceCdnUpload(cl, lpparam.processName);
     }
     // ── WCDB hook ──────────────────────────────────────────────────────────────
@@ -1525,6 +1542,79 @@ public class WeChatHook implements IXposedHookLoadPackage {
         } catch (Throwable t) { XposedBridge.log("[WeChatHook] hookVoiceCgiResult failed in " + procName + ": " + t); }
     }
+    // ── 贴图号发布 sink: js1.m.c(TransferRequestInfo, zq1.g0) ────────────────────
+    //反编译确认（见 BRANDSERVICE_PUBLISH_RESEARCH.md §3.5）: brandservice/webview
+    // 的 luggage JS-API 层（com.tencent.mm.plugin.webview.luggage.jsapi.c.d()）和
+    // 小程序侧的 k2/y7 都把 reqUrl/reqBody/cgiCmdId 填进 TransferRequestInfo 后调
+    // 这一个方法。字段映射: TransferRequestInfo{d=type, e=h5Url, f=scope, h=y24,
+    // n=needVerifySignature, i=is_security_check}; y24{d=reqUrl, e=reqBody(JSON串),
+    // f=cgiCmdId, h=method, g=LinkedList<cw3> headers(cw3{d=key,e=value})}。
+    private static void dumpFieldsByName(Object obj, String[] names, StringBuilder sb, String indent) {
+        if (obj == null) { sb.append(indent).append("(null)\n"); return; }
+        for (String name : names) {
+            try {
+                java.lang.reflect.Field f = obj.getClass().getDeclaredField(name);
+                f.setAccessible(true);
+                Object v = f.get(obj);
+                String vs = v == null ? "null" : v.toString();
+                if (vs.length() > 4000) vs = vs.substring(0, 4000) + "…(truncated)";
+                sb.append(indent).append(name).append(" = ").append(vs).append("\n");
+            } catch (Throwable t) {
+                sb.append(indent).append(name).append(" = <err: ").append(t).append(">\n");
+            }
+        }
+    }
+
+    private void hookBrandservicePublishTransfer(ClassLoader cl, String procName) {
+        try {
+            Class<?> sinkCls = XposedHelpers.findClass("js1.m", cl);
+            final Class<?> reqInfoCls = XposedHelpers.findClass(
+                "com.tencent.mm.plugin.brandservice.api.TransferRequestInfo", cl);
+            int hooked = 0;
+            for (java.lang.reflect.Method m : sinkCls.getDeclaredMethods()) {
+                Class<?>[] pt = m.getParameterTypes();
+                if (pt.length != 2 || !reqInfoCls.isAssignableFrom(pt[0])) continue;
+                m.setAccessible(true);
+                XposedBridge.hookMethod(m, new XC_MethodHook() {
+                    @Override protected void beforeHookedMethod(MethodHookParam p) {
+                        try {
+                            Object reqInfo = p.args[0];
+                            StringBuilder sb = new StringBuilder(
+                                "[WeChatHook] BRANDSVC-SINK js1.m.c() called in " + procName + "\n");
+                            if (reqInfo == null) { sb.append("  reqInfo = null\n"); XposedBridge.log(sb.toString()); return; }
+                            dumpFieldsByName(reqInfo, new String[]{"d", "e", "f", "n", "i"}, sb, "  ");
+                            Object h;
+                            try {
+                                java.lang.reflect.Field hf = reqInfo.getClass().getDeclaredField("h");
+                                hf.setAccessible(true);
+                                h = hf.get(reqInfo);
+                            } catch (Throwable t) { h = null; }
+                            if (h == null) {
+                                sb.append("  h (y24, reqUrl/reqBody/cgiCmdId container) = null\n");
+                            } else {
+                                sb.append("  h (y24):\n");
+                                dumpFieldsByName(h, new String[]{"d", "e", "f", "h"}, sb, "    ");
+                                try {
+                                    java.lang.reflect.Field gf = h.getClass().getDeclaredField("g");
+                                    gf.setAccessible(true);
+                                    Object headers = gf.get(h);
+                                    sb.append("    g (headers) = ").append(headers == null ? "null" : headers.toString()).append("\n");
+                                } catch (Throwable t) { sb.append("    g (headers) = <err: ").append(t).append(">\n"); }
+                            }
+                            XposedBridge.log(sb.toString());
+                        } catch (Throwable t) {
+                            XposedBridge.log("[WeChatHook] BRANDSVC-SINK dump err: " + t);
+                        }
+                    }
+                });
+                hooked++;
+            }
+            XposedBridge.log("[WeChatHook] hookBrandservicePublishTransfer: hooked js1.m.c x" + hooked + " in " + procName);
+        } catch (Throwable t) {
+            XposedBridge.log("[WeChatHook] hookBrandservicePublishTransfer failed in " + procName + ": " + t);
+        }
+    }
+
     private void hookVoiceCgiCapture(ClassLoader cl, String procName) {
         try {
             Class<?> lCls = XposedHelpers.findClass("com.tencent.mm.modelbase.l", cl);
@@ -1573,6 +1663,118 @@ public class WeChatHook implements IXposedHookLoadPackage {
         } catch (Throwable t) { XposedBridge.log("[WeChatHook] hookVoiceCgiCapture failed in " + procName + ": " + t); }
     }
+    // 贴图号发布探测: js1.m.c() 抓到的全是 mp.weixin.qq.com 网页态调用（真实测过，见
+    // BRANDSERVICE_PUBLISH_RESEARCH.md §3.9），没有一次带 protobuf reqBody/cgiCmdId 的——
+    // 说明真正的"提交发布"根本不走 brandservice/webview 那条 JS-API 桥，大概率是原生侧
+    // （Flutter platform channel 之后的 Kotlin/Java 代码）直接建的内部 cgi 调用，类似文字/
+    // 语音发送那条 NetSceneQueue 路子。与其继续在混淆的 Flutter 桥接代码里找具体是哪个类，
+    // 直接照抄 hookVoiceCgiCapture 但去掉 "uploadvoice" 过滤——modelbase.l.a() 是所有内部
+    // 二进制 cgi 调用的公共构造入口，不管发起方是谁，只要真是这条路子就跑不掉这个方法。
+    private void hookAnyCgiCapture(ClassLoader cl, String procName) {
+        try {
+            Class<?> lCls = XposedHelpers.findClass("com.tencent.mm.modelbase.l", cl);
+            final Class<?> pbCls = XposedHelpers.findClass("com.tencent.mm.protobuf.f", cl);
+            XposedBridge.hookMethod(lCls.getDeclaredMethod("a"), new XC_MethodHook() {
+                @Override protected void beforeHookedMethod(MethodHookParam p) {
+                    try {
+                        Object self = p.thisObject;
+                        String url = null;
+                        java.util.List<Object> pbs = new java.util.ArrayList<>();
+                        for (Class<?> c = self.getClass(); c != null && !c.equals(Object.class); c = c.getSuperclass()) {
+                            for (java.lang.reflect.Field f : c.getDeclaredFields()) {
+                                if (java.lang.reflect.Modifier.isStatic(f.getModifiers())) continue;
+                                f.setAccessible(true);
+                                Object v; try { v = f.get(self); } catch (Throwable t) { continue; }
+                                if (v instanceof String && ((String) v).contains("cgi-bin")) url = (String) v;
+                                else if (v != null && pbCls.isInstance(v)) pbs.add(v);
+                            }
+                        }
+                        if (url == null) return;   // no gate otherwise — log every internal cgi call
+                        StringBuilder sb = new StringBuilder("[WeChatHook] ANYCGI url=" + url + " pbCount=" + pbs.size());
+                        int idx = 0;
+                        for (Object req : pbs) {
+                            sb.append("\n  -- pb#").append(idx++).append(" ").append(req.getClass().getName()).append(" --");
+                            for (int i = 0; i <= 25; i++) {
+                                Object val = null; String kind = "";
+                                try { Object c = XposedHelpers.callMethod(req, "getCustom", i);
+                                      if (c != null) { val = "custom:" + c.getClass().getName(); kind = "C"; } } catch (Throwable t) {}
+                                if (val == null) { try { Object s = XposedHelpers.callMethod(req, "getString", i); if (s != null) { val = s; kind = "S"; } } catch (Throwable t) {} }
+                                if (val == null) { try { Object iv = XposedHelpers.callMethod(req, "getInteger", i); if (iv != null && ((Integer) iv) != 0) { val = iv; kind = "I"; } } catch (Throwable t) {} }
+                                if (val == null) { try { Object lv = XposedHelpers.callMethod(req, "getLong", i); if (lv != null && ((Long) lv) != 0L) { val = lv; kind = "L"; } } catch (Throwable t) {} }
+                                if (val != null) {
+                                    String vs = String.valueOf(val);
+                                    if (vs.length() > 200) vs = vs.substring(0, 200) + "…";
+                                    sb.append("\n      [").append(i).append("](").append(kind).append(")=").append(vs);
+                                }
+                            }
+                        }
+                        XposedBridge.log(sb.toString());
+                    } catch (Throwable t) { XposedBridge.log("[WeChatHook] ANYCGI err: " + t); }
+                }
+            });
+            XposedBridge.log("[WeChatHook] hookAnyCgiCapture: hooked modelbase.l.a() (unfiltered) in " + procName);
+        } catch (Throwable t) { XposedBridge.log("[WeChatHook] hookAnyCgiCapture failed in " + procName + ": " + t); }
+    }
+
+    // 贴图号发布图片提交（BRANDSERVICE_PUBLISH_RESEARCH.md §4）：js1.m.c()/bizh5webtransfer
+    // 那条纯文本 transfer 链路里从没见过提交调用——反编译顺着
+    // LuggageUploadMediaFileManager$UploadMediaFileTask.z() 往下追，图片走的是完全独立的
+    // CDN 提交服务：Lm11/l0;->d1(Lk70/h0;ZJ)Lm11/b0;（m11.l0 单例经 Lm11/b1;->Di() 拿到，
+    // 跟消息发图 v70.w.oj/b80.u.oj 是两套不同的服务）。k70.h0 = 提交参数（本地文件路径等），
+    // m11.b0 = CDN 提交结果（约 40 个混淆字段，字段语义未知，先全量 dump 出来看）。
+    private static void dumpAllFields(Object obj, StringBuilder sb, String indent) {
+        if (obj == null) { sb.append(indent).append("(null)\n"); return; }
+        for (java.lang.reflect.Field f : obj.getClass().getDeclaredFields()) {
+            if (java.lang.reflect.Modifier.isStatic(f.getModifiers())) continue;
+            try {
+                f.setAccessible(true);
+                Object v = f.get(obj);
+                String vs = v == null ? "null" : v.toString();
+                if (vs.length() > 300) vs = vs.substring(0, 300) + "…";
+                sb.append(indent).append(f.getName()).append(" (").append(f.getType().getSimpleName())
+                  .append(") = ").append(vs).append("\n");
+            } catch (Throwable t) {
+                sb.append(indent).append(f.getName()).append(" = <err: ").append(t).append(">\n");
+            }
+        }
+    }
+
+    private void hookBrandserviceCdnUpload(ClassLoader cl, String procName) {
+        try {
+            Class<?> l0Cls = XposedHelpers.findClass("m11.l0", cl);
+            final Class<?> h0Cls = XposedHelpers.findClass("k70.h0", cl);
+            int hooked = 0;
+            for (java.lang.reflect.Method m : l0Cls.getDeclaredMethods()) {
+                if (!"d1".equals(m.getName())) continue;
+                Class<?>[] pt = m.getParameterTypes();
+                if (pt.length == 0 || !h0Cls.isAssignableFrom(pt[0])) continue;
+                m.setAccessible(true);
+                XposedBridge.hookMethod(m, new XC_MethodHook() {
+                    @Override protected void beforeHookedMethod(MethodHookParam p) {
+                        try {
+                            StringBuilder sb = new StringBuilder(
+                                "[WeChatHook] BRANDSVC-CDN m11.l0.d1() called in " + procName + "\n  k70.h0 params:\n");
+                            dumpAllFields(p.args[0], sb, "    ");
+                            XposedBridge.log(sb.toString());
+                        } catch (Throwable t) { XposedBridge.log("[WeChatHook] BRANDSVC-CDN before err: " + t); }
+                    }
+                    @Override protected void afterHookedMethod(MethodHookParam p) {
+                        try {
+                            StringBuilder sb = new StringBuilder(
+                                "[WeChatHook] BRANDSVC-CDN m11.l0.d1() returned in " + procName + "\n  m11.b0 result:\n");
+                            dumpAllFields(p.getResult(), sb, "    ");
+                            XposedBridge.log(sb.toString());
+                        } catch (Throwable t) { XposedBridge.log("[WeChatHook] BRANDSVC-CDN after err: " + t); }
+                    }
+                });
+                hooked++;
+            }
+            XposedBridge.log("[WeChatHook] hookBrandserviceCdnUpload: hooked m11.l0.d1 x" + hooked + " in " + procName);
+        } catch (Throwable t) {
+            XposedBridge.log("[WeChatHook] hookBrandserviceCdnUpload failed in " + procName + ": " + t);
+        }
+    }
+
     private void hookVoiceUpload(ClassLoader cl, String procName) {
         try {
             Class<?> g1 = XposedHelpers.findClass("w21.g1", cl);
@@ -3050,6 +3252,12 @@ public class WeChatHook implements IXposedHookLoadPackage {
                                 // Capture the real uploadvoice cgi request in Tinker CL.
                                 hookVoiceCgiCapture(sTinkerCL, procName + "/tinker");
                                 hookVoiceCgiResult(sTinkerCL, procName + "/tinker");
+                                // js1.m may live in a Tinker DEX too (base-CL hook installed
+                                // but confirmed it never fires — same "base CL vs Tinker CL"
+                                // gotcha as f9/w11.s1/jg0.x above). Re-hook here.
+                                hookBrandservicePublishTransfer(sTinkerCL, procName + "/tinker");
+                                hookAnyCgiCapture(sTinkerCL, procName + "/tinker");
+                                hookBrandserviceCdnUpload(sTinkerCL, procName + "/tinker");
                                 // Pad-login: the login UIs (LoginPasswordUI/LoginHistoryUI/
                                 // LoginUI) + bk run in Tinker CL — the base-CL hooks never
                                 // fire (0 N-VISIBLE). Register them here so the "以平板登录"