谷文栋前两天我朋友做软件评测视频，封面需要把被评测软件的图标单独抠出来，找了一圈官网和图库都没满意的。我拿过他手里的软件安装包，三十秒导出全套图标，从16x16到256x256一应俱全。他问我是怎么做到“一键提取”的，其实这事说穿了并不难：懂一点Windows程序资源组织的常识，再用对工具，任何人都能轻松拿到安装包里的所有图标。这篇文章我就从头到尾讲一遍，适合临时需要一个软件Logo的人，也适合想批量收集图标的设计师、资源整理控和刚入门的开发者。
1. 别到处找了：图标最可靠的来源就在安装包里
1.1 哪些场景真的需要“从安装包提取图标”
先说需求。很多人搜“安装包提取图标exe”，并不是想搞什么逆向工程，而是遇到下面这些非常普通的场景：
- 做视频封面、PPT演示、教程配图时，不想截一张带桌面的模糊图，想把软件图标当独立素材用；
- 自定义快捷方式、文件夹图标、开始菜单磁贴，想换上某个软件的原版图标；
- 做软件测评或横向对比，需要统一尺寸、统一风格的一组图标放在一起比较；
- 设计师做竞品分析，想研究某类软件在图标设计上的共同规律；
- 开发者维护自有软件时，需要从历史版本的安装包里把旧图标翻出来做版本对比。
这些场景下，很多人第一反应是去搜索引擎找图标。但搜索结果有几个问题：清晰度参差不齐，来源网站的水印要手动裁掉，还可能拿到被二次压缩过的失真图。更麻烦的是，很多“图标下载站”提供的图标版本很旧，和当前软件实际使用的图标根本不是同一个。而软件安装包里装着的，一定是官方发布时真正打进去的那套图标，从来源上就是最可靠的。
1.2 “一张图标”本质上是“一组图标”
新手最容易忽略的一点：一个exe里的图标并不是“一张图”，而是一组不同尺寸的图。Windows从列表视图到桌面大图标，再到高分屏磁贴，需要同一图标的不同规格。常见的规格是这样的：
| 尺寸 | 典型用途 |
|---|---|
| 16x16 | 列表视图、浏览器标签、状态栏 |
| 24x24 / 32x32 | 任务栏按钮、标题栏、快捷方式小图标 |
| 48x48 | 资源管理器“大图标”视图、文件夹缩略图 |
| 64x64 / 128x128 | 部分软件关于窗口、高清屏小尺寸显示 |
| 256x256 | 开始菜单磁贴、高分屏缩略图、应用商店展示 |
所以“一键提取软件安装包中的图标”这句描述，严格说应该是“一键提取安装包中的全套图标”。只拿到一张48x48的缩略图，根本不算完成。很多工具之所以被网友吐槽“提取出来的图标模糊”，就是因为它们只读出了其中某一档尺寸，真正靠谱的工具会把所有规格都导出来，让你按需挑选。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 先弄懂exe里的图标是怎么组织的：PE资源与ICO格式
2.1 图标藏在PE资源的“资源段”里
Windows的可执行文件（exe、dll）采用PE结构，除了代码和数据，还有一个专门的“资源段”，用来存放菜单、对话框、字符串、版本信息和图标。可以说，一个exe就像一本杂志，代码是正文，资源段是附录，而图标就是附录里的插图。
在资源段里，图标分成两类资源：
- RT_ICON（资源类型3）：存放每个尺寸图标的原始图像数据，可能是BMP格式，也可能是PNG格式；
- RT_GROUP_ICON（资源类型14）：存放一个“图标组”的描述信息，里面记录了这套图标包含哪些尺寸、每个尺寸对应RT_ICON里的哪个ID。
这里可以打个比方。RT_ICON是实体照片，RT_GROUP_ICON是相册目录。相册目录告诉我们“16x16的照片在第三页，256x256的照片在第七页”，但照片本身一张张散放着。提取工具的工作，就是先读相册目录，再把散落的实体照片按顺序取出来，重新装订成一个标准的ICO文件。
2.2 为什么有些工具只能提小尺寸，提不出高清大图
你可能遇到过这种情况：用某个老牌工具提取图标，生成的ICO里只有16、32、48，唯独没有256的大图。这通常有两个原因。
第一，ICO文件格式规定，图像目录条目里宽高字段是1字节，最大只能表达255，256这个值就用0来表示。有些老工具看到0就认为这个尺寸非法，直接跳过，于是大图就丢了。
第二，传统Windows图标早期只支持BMP格式，但256x256这种大尺寸如果用BMP存放，体积会很大。后来微软允许在ICO里嵌入PNG压缩数据，大尺寸图标为了体积和画质基本都走了PNG路线。老工具如果内置的解析器不支持PNG，同样会把这张图丢弃。
所以很多“提不出来”的问题，并不是安装包里没有高清图标，而是工具太老了。后面推荐的几个工具都兼容PNG，可以放心用。
2.3 从PE资源到ICO文件，中间缺了拼接一步
标准ICO文件的结构是三段式：文件头（6字节）、图像目录（每个尺寸16字节）、图像数据。文件头里记录“这是一个ICO文件，包含N张图”，图像目录里记录“第1张图是什么尺寸、数据从哪个偏移量开始、数据多长”，最后才是真正的图像数据。
安装包里的RT_GROUP_ICON只相当于ICO的图像目录，RT_ICON只相当于ICO的图像数据，两者被分开放置。工具要做的就是把它们拼成一个完整ICO。理解了这句话，你就明白为什么某些能直接解压exe的压缩软件，打开安装包后看到的是一堆没有扩展名的零散文件——它们解出来的是“半成品”，不是可以直接用的ICO。
3. 傻瓜级工具实测：三步导出全尺寸图标
3.1 Resource Hacker：最省心的路线
如果你只处理一个安装包，想看得清清楚楚又不想折腾，首选Resource Hacker。这工具年头很长，稳定得不像话，界面虽然老派但逻辑清晰。
操作流程只有三步：
- 打开Resource Hacker，File -> Open，选择目标exe或dll；
- 左侧树形目录展开“Icon Group”，点开里面的任意资源ID，右侧会显示当前图标组的预览；
- 选中“Icon Group”下的资源名，右键 -> Save [资源名] to .ico file...，保存成ICO文件。
这里有个细节：如果安装包和主程序是分开的，例如setup.exe和主程序app.exe，尽量对主程序执行这个操作，不要对安装器执行。原因后面专门讲。
Resource Hacker还有一个很省事的功能：Action -> Save all resources...，可以把整个exe里所有资源一次性导出，包括各种语言的字符串、版本信息、位图、光标。如果你是做本地化或者做汉化研究的人，这个功能比图标提取本身还值钱。
3.2 BeCyIconGrabber：批量场景的最优解
Resource Hacker一次只处理一个文件，如果手头有几十个exe要“扫一遍”，效率就不够看了。这时候BeCyIconGrabber更合适，它的设计哲学就是批量扫描。
BeCyIconGrabber的用法非常简单：选择一个文件夹或直接拖入一批exe，它会自动扫描每个文件的图标资源，把不同尺寸、不同颜色位数的图标全部列出来。接下来你可以选中其中一张或多张，右键保存，也可以一键把当前文件的所有图标导出。旁边还有复制到剪贴板的功能，做PPT时需要临时贴一张图标，直接复制粘贴即可，不用先存文件再插入。
它最大的优势是“一眼看全”。打开一个大文件夹，比如C:\Program Files下的子目录，你能看到一排软件图标并列展示，方便横向比较。我在整理几十个常用软件素材时会专门用它跑一遍，比一个个右键属性快得多。
3.3 IconViewer 与一行PowerShell命令
如果你的需求只是“偶尔看一下、存一个”，甚至不用装上面这些软件。IconViewer在资源管理器里装好后，右键exe文件 -> 属性，会多出一个“图标”选项卡，里面列出了该程序包含的所有图标，选中任意一个可以直接保存为ICO或PNG。我觉得这是最贴近“一键”这个描述的方式，没有任何学习成本。
另外，Windows自带一个提取主图标的隐藏函数，通过PowerShell也能快速拿到：
powershell复制Add-Type -AssemblyName System.Drawing
$icon = [System.Drawing.Icon]::ExtractAssociatedIcon("C:\Path\Yourapp.exe")
$stream = [System.IO.File]::Create("C:\Path\icon.ico")
$icon.Save($stream)
$stream.Close()
这段代码的意思是：让系统把exe“关联的默认图标”取出来，保存成ICO文件。适合只想拿一个当前正在使用的图标、不关心全套的情况。注意ExtractAssociatedIcon返回的通常只是一个最佳匹配尺寸，想要全套还是要用前面的工具。
4. 安装器“保护”了图标怎么办：三种破解思路
4.1 先看清手里是安装器还是主程序
很多安装包的图标并不等于软件图标。一个典型的安装器如setup.exe、install.exe，图标常常是厂商统一制作的“安装程序”通用图形，而软件真正的图标在安装完成后，存在于主程序exe里。所以如果你对安装器做图标提取，出来的往往是安装器自己的Logo，不是产品Logo。
那到底怎么判断？简单粗暴的方法：看文件体积。带完整资源的安装器动辄几十MB甚至上百MB，主程序一般几MB到几十MB。更准的方法：安装完成后，到安装目录里看那个和软件同名的exe，那才是图标提取的“正主”。开始菜单里的快捷方式也可以右键 -> 属性 -> 更改图标，里面列出的就是主程序内置的全部图标。
4.2 7-Zip能打开安装包，但别直接导
7-Zip可以解压很多类型的安装包，打开exe后你会看到.rsrc文件夹，进去后有ICON目录，里面是一堆没有扩展名的文件。很多新手到这一步以为自己成功了，结果导出后双击根本打不开。
原因就是我前面说的：这些是解了一半的“半成品”，只是RT_ICON的原始数据，缺少ICO的文件头和图像目录。7-Zip不是专业的资源提取工具，它能让你看到资源树，但不会帮你重组成ICO。对于新手，与其在这些裸数据上手动拼，不如直接用Resource Hacker这种天然懂ICO格式的工具。只有在批量处理且想省事时，裸数据才值得交给脚本去加工。
4.3 MSI安装包专用手段：lessmsi与msiexec /a
MSI是微软自家的安装包格式，视觉上和你平时见过的exe安装器完全两回事。MSI本质上是一个关系型数据库，里面用表存文件、注册表项、快捷方式、图标等。普通资源查看器打不开MSI，因为MSI根本不是PE文件，你没法在它里面找“PE资源段”。
处理MSI有两个常用方法。
第一个是lessmsi，一个开源图形工具。下载后打开MSI文件，左侧选“Tables”，找到Icon表，里面就是安装包内置的图标数据，通常是二进制字段，右键可以导出为ICO或PNG。lessmsi的局限在于它主要面向“看数据”，批量保存体验一般。
第二个是系统自带的路子：对MSI执行一次管理式安装，把安装内容“解开”到指定目录：
bash复制msiexec /a 你的安装包.msi /qb TARGETDIR=C:\Extracted
执行后C:\Extracted里会出现一份未经过安装引擎处理的完整文件副本，包括应用目录、资源文件，甚至很多MSI自带的小尺寸ICO和PNG文件也都在里面。这个方法最大的好处是不需要装任何第三方工具，而且解出来的文件是“原始状态”，很适合做资源归档。
4.4 最稳的方案：装完再提
我自己的习惯是：能装就装，装完直接对安装目录里的主程序做提取。理由有三。
第一，安装过程会把安装器里的压缩数据解压成真正的可执行文件，主程序往往比安装器里的同名文件更完整，图标资源也更齐全；第二，有些安装器用NSIS、Inno Setup等框架打包，外层套了自解压逻辑，内层另有乾坤，直接对安装器提取可能只能看到框架自带资源；第三，安装完成后，系统图标缓存里已经生成了当前版本图标，即使主程序加了某种壳导致资源查看器打不开，你也能在缓存里找回可用的ICO副本。
注意这里说的“壳”不要想歪了，就是指一些程序为了防止资源被轻易修改，会做一层资源混淆处理。遇到这种情况别死磕，换一个思路、换一个文件源，往往立刻解决。
5. 命令行与脚本：批量提取的正确打开方式
5.1 icoutils：Linux和macOS也能干这件事
虽然很多人是从Windows环境开始提图标的，但如果你在Linux服务器上跑自动化，或者macOS用户装了Homebrew，icoutils这套命令行工具非常值得认识。它里面有两个核心程序：wrestool负责从PE文件里解资源，icotool负责把多张png组合成ICO。
典型流程：
bash复制# 列出exe里所有资源
wrestool -l app.exe
# 提取全部RT_ICON资源到当前目录
wrestool -x -t 3 app.exe
# 把解出来的多张png合成一个多尺寸ICO
icotool -c icon1.png icon2.png icon3.png -o out.ico
第三个命令里的icon1.png等文件，是手动把wrestool解出来的裸文件识别后重命名的。某些发行版的文件处理方式不完全一样，有时解出来的是BMP数据，有时是PNG数据，建议先用file命令看一眼再决定后缀。icotool对PNG和BMP都能识别，理论上你给它什么格式，它就能往ICO里塞什么。
这套方案的价值在于可脚本化。写个简单的shell循环，就能把一个目录下所有exe的图标批量导出来并按软件名归档：
bash复制for f in *.exe; do
mkdir -p "icons/${f%.exe}"
wrestool -x -t 3 "$f" -o "icons/${f%.exe}/"
done
5.2 用Python脚本手动拼ICO
如果想要更细的控制，比如只要256尺寸，或者按资源ID重命名，Python是绕不开的强工具。网上很多现成脚本参数复杂，我这里给一个相对精简、能直接跑的版本。
依赖只有两个：
bash复制pip install pefile Pillow
脚本核心思路是：用pefile读取PE资源目录，分别拿到RT_GROUP_ICON和RT_ICON的数据，再按ICO文件格式拼装：
python复制import pefile, struct, os
from PIL import Image
def extract_icons(exe_path, out_dir):
os.makedirs(out_dir, exist_ok=True)
pe = pefile.PE(exe_path, fast_load=True)
pe.parse_data_directories(directories=[
pefile.DIRECTORY_ENTRY['IMAGE_DIRECTORY_ENTRY_RESOURCE']])
icons = {} # nID -> 原始图像数据
groups = {} # groupID -> 组描述数据
for rt in pe.DIRECTORY_ENTRY_RESOURCE.entries:
if rt.id not in (3, 14): # 3=RT_ICON 14=RT_GROUP_ICON
continue
for name in rt.directory.entries:
lang = name.directory.entries[0]
raw = pe.get_data(lang.data.struct.OffsetToData,
lang.data.struct.Size)
if rt.id == 3:
icons[name.id] = raw
else:
groups[name.id] = raw
for gid, grp in groups.items():
count = struct.unpack('<H', grp[4:6])[0]
items = []
for i in range(count):
off = 6 + i * 14
w, h, _, _, _, _, size, nid = struct.unpack(
'<BBBBHHIH', grp[off:off+14])
if nid in icons:
items.append((256 if w == 0 else w,
256 if h == 0 else h,
icons[nid]))
if not items:
continue
header = struct.pack('<HHH', 0, 1, len(items))
entries, body, offset = b'', b'', 6 + 16 * len(items)
for w, h, data in items:
entries += struct.pack('<BBBBHHII',
w & 0xFF, h & 0xFF, 0, 0, 1, 32,
len(data), offset)
offset += len(data)
body += data
with open(os.path.join(out_dir, f'icon_{gid}.ico'), 'wb') as fp:
fp.write(header + entries + body)
if __name__ == '__main__':
extract_icons('app.exe', 'icons')
运行时把脚本里的app.exe换成实际路径。这个脚本解决了前文说的核心痛点：自动读取相册目录、自动取出每张实体照片、自动拼装成标准ICO。跑完以后能拿到若干个.icon文件，每个对应一个图标组。大多数exe只有一个图标组，所以一般会生成一个icon_1.ico，里面包含全部尺寸。
5.3 批量和自动化的延伸思路
脚本的价值一旦展开就很大。
比如你维护一个软件素材库，每次下载到新版本安装包，可以直接在下载目录跑一遍批量提取，把所有exe图标自动汇总到一个带日期的文件夹里。再配合“只提取256尺寸并转成PNG”的过滤逻辑，就能定期生成一套高清Logo缩略图，方便团队内部做产品视觉对比。
再比如你是做本地化测试的，需要确认某个版本是否更换了图标，可以用脚本提取后对比文件哈希。ICO文件内容变了，哈希肯定变，一眼就能看出来。这件事如果纯靠肉眼，几十个软件看下来眼睛绝对花。
6. 不只exe：新式包格式与安装包更新后的图标获取
6.1 新式包格式里，图标是“文件”而不是“资源”
Windows生态流行把图标塞进二进制资源，但Linux和跨平台生态不一样。像AppImage、Flatpak、Snap，以及一些国内Linux发行版在推的玲珑包这类新式格式，应用本身是一个目录或者一个压缩镜像，图标就是实实在在的图片文件，通常放在应用的share/icons目录下。这种设计对提取者相当友好：不需要从二进制里挖数据，直接用文件管理器或命令就能找到。
以AppImage为例：
bash复制./某软件.AppImage --appimage-extract
find squashfs-root -iname "*.png" -o -iname "*.svg" | grep -i icon
--appimage-extract会把AppImage解压出squashfs-root目录，里面的usr/share/icons/hicolor路径下按尺寸放着各种png图标，复制出来就是高清原件。Flatpak则可以通过加环境变量或直接进入应用安装目录查找，图标一般在/var/lib/flatpak/app/应用ID/current/active/export/share/icons/hicolor下。
6.2 安装包更新版本后，从哪里找新图标
有些人搜索“安装包提取图标exe”其实是带着更新需求的：软件出了新版本，安装包下载下来了，但新图标在安装包哪个位置？或者软件更新完成后，新图标被系统缓存到了哪里？
我的经验是：先安装更新，再去找系统图标目录，按文件修改时间排序。新安装的软件一定会把自己的图标释放到系统图标目录，通常包括：
- ~/.local/share/icons
- /usr/share/icons/hicolor
- /usr/share/applications（这里的.desktop文件里记录了图标文件名和路径）
一个实用的命令是：
bash复制find ~/.local/share/icons /usr/share/icons -type f \
\( -iname "*.png" -o -iname "*.svg" \) \
-newermt "-7 days" | xargs ls -lt
这个命令会列出最近七天内新增或修改过的所有图标文件，按时间倒序排列。更新完软件以后跑一遍，新图标文件基本就在列表前几行。这个方法的好处是不用拆安装包，也不用管安装包是什么格式，只要你把软件装上了，图标就一定会出现在系统目录里。
如果你特别在意“提前看新版图标”，拿到安装包后直接解包找share/icons目录、或者用前面提到的lessmsi/Resource Hacker按对应格式处理即可。新式包格式里，图标是静态文件，路径明确，比从exe资源段里找还简单。
6.3 建议：给自己的图标素材库建档
最后分享一个非常个人的习惯。我电脑里有一个icons文件夹，按软件名和日期分目录，每次遇到需要的安装包，顺手把全套图标导进去。平时看着没什么用，但一个月后做文档、三个月后做视频、半年后做某个软件的历史版本对比，这个文件夹的价值立刻就出来了。
归档时我建议文件名里带上版本号和日期，比如“WeChat_3.9.10_20240615.ico”。这样以后翻出来，不仅知道是哪个软件的图标，还能看出是哪一版。Windows系统图标缓存有时会把旧版本的图标也留着，如果没有清晰的命名习惯，过几天你根本分不清哪个是哪个。
图标提取这件事，操作层面可能只需要几十秒，但它背后是PE资源结构、ICO封装格式、各类安装包特性的组合应用。先把这些底层逻辑理顺，工具用起来才不会“这次行、下次不行”。下次再有人说“图标提取神器”，你可以告诉他：神器不在网上，就在你手头的安装包里。