企业官网建设流程全解析

简介：东南大学网安学院网络入侵检测与数字取证课程设计资源，以idshwk1至idshwk7七个作业模块为主线，面向网安专业学生或相关课程学习者，解决如何将IDS与数字取证理论落地为可运行实验的问题。压缩包共19个文件，包括md格式README说明、rules检测规则（test.rules）、zeek脚本（test.zeek）、py辅助脚本（test.py）、pcap流量包、log日志及png示意图等，总大小仅68KB，目录按作业划分，便于按需查阅。目前已有263人学习下载，适合课程复习、实验参考与竞赛备赛。资源内含各作业的源码与运行说明，覆盖特征匹配检测、DGA分析、Zeek网络流量解析、pcap取证等实践场景，配合README可快速搭建环境并复现实验流程，是理解网络入侵检测与数字取证实战的紧凑型工具包。

1. 网络入侵检测与数字取证课程设计包：一份源码齐备但入口隐蔽的网安课设

临近期末，手里这份标题叫《东南大学-网安学院-网络入侵检测与数字取证课程设计-内含源码和运行说明.zip》的包，就是典型的“看得懂标题、找不到入口”的项目：它同时覆盖网络入侵检测与数字取证两条线，又带源码和运行说明，听起来很完整，可真到你手上，第一步就可能卡在解压、依赖和样本文件上。这份包的价值在于让你用最短时间把两种能力串起来——用流量特征判断入侵行为，再顺着证据链把数据固定下来。适合网安方向学生拿来作课设参考，也适合刚入行的工程师想快速理解检测和取证怎么代码化。

2. 从 zip 到可运行环境：解压校验、目录解读与依赖补齐

2.1 拿到包先做三件事：校验、解压、看运行说明

先别急着双击 zip，也不要直接右键解压到当前目录。我处理过的课设压缩包至少有两成是下载中断或打包时没打全的，解压到一半报unexpected EOF的体验非常糟糕。第一个动作是用unzip -t做完整性校验，它能扫一遍压缩包里的每个文件条目，确认结构没坏。

# 把文件名存成变量，避免反复敲一长串 zip_file="东南大学-网安学院-网络入侵检测与数字取证课程设计-内含源码和运行说明.zip" # 1. 测试 zip 完整性，不通过就先重新下载，别浪费时间 unzip -t "$zip_file" # 2. 解压到独立目录，防止源码文件散落到桌面 unzip "$zip_file" -d course_design # 3. 进目录看结构和顶层文档 cd course_design && ls -la find . -maxdepth 2 -type f | head -50

unzip -t只做测试，不落地文件，输出末尾会有No errors detected才算通过。-d course_design指定解压目录是防止包内文件直接炸到当前路径下，因为很多课设包的顶层目录命名不规范，不隔离的话会把main.py、README.md这种通用文件名散到你项目根目录里。

解压后先不碰代码，找三样东西：README 或运行说明文档、requirements.txt 或环境依赖清单、samples 或 data 目录。这类课设包通常走“源码+笔记”的结构，运行说明会放在根目录或 docs 文件夹里，里面一般会写清实验环境、入口脚本、预期输出。先把这些读完再动手，能省掉后面大半的玄学问题。

2.2 从最小可行命令开始：把入侵检测部分跑通

网络入侵检测系统简称 IDS，课设里最常见的实现分两派：基于规则的误用检测和基于统计或机器学习的异常检测。前者像 Snort、Suricata 这类成熟引擎，课程里会把规则集精简到几百条，用 libpcap 抓包做匹配；后者则是用 Python 对 pcap 文件离线提取特征，再用 sklearn 或类似库训练分类器。这份课设包的入侵检测部分大概率落在后者，入口文件名可能是train.py、detect.py或main.py，先看运行说明确认入口，不要盲目点开每个 py 文件。

我的习惯是拉一个干净的虚拟环境，避免把系统 Python 环境搞乱：

# 进入源码目录 cd course_design # 创建虚拟环境，python3 版本以本机为准 python3 -m venv venv source venv/bin/activate # 安装依赖；requirements.txt 缺失或安装失败时，再按提示逐个装 pip install -r requirements.txt

这一行的常见翻车点有两个。第一是 requirements.txt 里锁了老版本，比如numpy==1.19.5在新 Python 上装不上，解决办法是去掉版本号重装pip install numpy，课设代码对 numpy 版本并不挑剔，能跑就行。第二是包内根本没有 requirements.txt，这时需要看源码里 import 了哪些第三方库，逐一手动装。最常见的组合是scapy、pandas、numpy、sklearn、matplotlib，先装这几个八成够用。

跑通后的预期输出是：读入一个 pcap 文件，对每条流量或会话做判断，输出可疑事件列表，并生成一张混淆矩阵或分类报告图。如果运行说明里写了入口脚本名，直接执行；如果没写，用grep -n "if __name__" *.py找带__main__入口的文件，比逐个打开快得多。

2.3 取证部分先解决输入样本，再谈输出

数字取证比入侵检测更依赖输入数据。检测脚本给一个 pcap 就能出结果，而取证脚本有时需要磁盘镜像、内存转储或指定格式的抓包文件。这里要提前确认一件事：包里的 samples 目录是不是空的。很多课设打包为了控制 zip 体积，不会把几百 MB 的 pcap 放进压缩包，运行说明里会写“请自行抓包”，但第一次跑的人很容易在这里卡死。

没有样本就用最小闭环造一个：抓本机回环流量作为测试输入，干净且可控，不需要真实网络环境。

# 检查样本目录，不存在就创建 ls -la samples/ || mkdir -p samples # 抓 200 个回环接口的包，作为取证模块的输入 sudo tcpdump -i lo -c 200 -w samples/local.pcap # 跑取证入口，输出到 reports 目录 python forensic_analyze.py --pcap samples/local.pcap --out reports/

抓回环流量是因为它不经过物理网卡，不会有真实业务流量混进来，结果可复现。tcpdump -c 200表示抓到 200 个包就自动退出，避免一直挂在那里；-w指定输出文件。取证脚本的输出通常是一个报告目录，里面包含会话统计、可疑请求列表、文件提取结果。如果脚本需要的是其他格式输入，比如 JSON 格式的流日志或 Volatility 的内存镜像，那就要回到运行说明里确认，别硬拿 pcap 往里塞。

2.4 运行说明里最容易被忽略的三个字段：版本、路径与数据

我读过的课设运行说明大多有固定套路，但有三类信息经常写得含糊，恰恰是坑最密集的地方。整理成一张表，拿到运行说明后先把这三列信息找出来填上：

路径问题我在 5.4 还会展开，这里先记住一个原则：运行说明写的路径只要在你的机器上不存在，就优先改成相对路径，而不是复制一份文件过去。比如说明里写D:/IDS/data/train.pcap，你的机器上没有 D 盘，就直接把 pcap 放到源码目录下的data/子目录里，然后把启动参数或源码里的路径改成data/train.pcap。这个习惯能避免不少让人抓狂的环境问题。

3. 把入侵检测部分改造成自己的方案：特征、模型与规则替换

3.1 从 pcap 里抽特征：别把 IDS 当黑匣子

课程设计的验收重点往往不是“检测准确率多高”，而是“你能不能讲清楚为什么这个特征能反映入侵行为”。这决定了你必须亲手做特征工程，而不是直接调库跑一个现成的分类器。

常见做法是用 scapy 读取 pcap，按包或按流提取统计特征。按流提取更接近检测语义，因为入侵行为往往体现在一组包的协同特征上，比如短时间内大量 SYN 包、单个 IP 的请求频率陡增。一个最小可用的特征提取如下：

from scapy.all import rdpcap, IP, TCP, UDP from collections import defaultdict def extract_flow_features(pcap_path): packets = rdpcap(pcap_path) flows = defaultdict(list) # 用 (src, sport, dst, dport) 作为流标识 for pkt in packets: if IP not in pkt: continue ip = pkt[IP] flow_key = (ip.src, ip.dst, ip.proto) if TCP in pkt: flow_key = (ip.src, ip.dst, ip.proto, pkt[TCP].sport, pkt[TCP].dport) elif UDP in pkt: flow_key = (ip.src, ip.dst, ip.proto, pkt[UDP].sport, pkt[UDP].dport) flows[flow_key].append(pkt) feature_rows = [] for key, pkts in flows.items(): sizes = [len(p) for p in pkts] feature_rows.append({ "flow_key": key, "packet_count": len(pkts), "bytes_total": sum(sizes), "bytes_avg": sum(sizes) / len(sizes), "time_span": max(p.time for p in pkts) - min(p.time for p in pkts), }) return feature_rows

这段代码把每个流拆成四个统计维度：包数量、总字节数、平均包长、时间跨度。包数量和总字节数用于识别扫描型攻击，平均包长用于识别特征载荷，时间跨度用于判断是否存在低速慢扫描的隐秘行为。defaultdict(list)在这里很关键，它省去了手动判断 key 是否存在再初始化的步骤。真正拿到课设源码时，你可以对照它的特征列表，看有没有覆盖到协议类型、TCP 标志位分布、上下行流量比例这几个维度——这些都是 IDS 特征工程里出现频率最高的字段。

3.2 模型选型：为什么课设标配是随机森林而不是深度学习

很多人在课设里会纠结要不要上深度学习，我的建议是别。课设训练数据通常是几十万条以内的 CSV，特征维度几十个，这种规模用随机森林或梯度提升树就能拿到足够漂亮的指标，而深度学习需要调的学习率、批大小、网络深度会消耗大量时间，还可能因为数据量不够而欠拟合。随机森林的优势是可解释、超参数少、对类别不平衡相对稳健，这三个特性正好凑齐了课设验收的要害——老师问“为什么用这个模型”时你能说出依据，而不是回答“感觉效果好”。

一个可直接套用的训练流程：

import pandas as pd from sklearn.ensemble import RandomForestClassifier from sklearn.model_selection import train_test_split from sklearn.metrics import classification_report # 假设已经有了特征 CSV：每行一个样本，label 列是攻击类型 df = pd.read_csv("features.csv") X = df.drop(columns=["label", "flow_key"]) # flow_key 是标识列，不参与训练 y = df["label"] # 分层切分：保证训练集和测试集里各类别比例一致 X_train, X_test, y_train, y_test = train_test_split( X, y, test_size=0.3, random_state=42, stratify=y ) clf = RandomForestClassifier( n_estimators=200, # 树的数量，越大越稳，但训练时间线性增长 max_depth=12, # 限制深度，防止对训练集记忆过深 min_samples_leaf=4, # 叶节点最少样本数，对噪声有抑制作用 random_state=42, n_jobs=-1 # 使用所有 CPU 核心，课设数据量小，不会造成压力 ) clf.fit(X_train, y_train) print(classification_report(y_test, clf.predict(X_test), digits=4))

这里三个超参数各有讲究：n_estimators从 100 加到 300 通常能提升 1 到 2 个百分点的稳定性，再往上收益就很小了；max_depth设得太深会记住训练集里的噪声，导致测试集指标下降；min_samples_leaf是对抗样本不平衡的手段，当某个攻击类型样本很少时，这个参数能阻止模型把少数类彻底忽略。stratify=y是防止切分后测试集里碰巧没有某种攻击类型，那样分类报告会直接报错或给出误导性的 0。跑通之后，建议把分类报告的 precision、recall、F1 抄到课设报告里，这就是你的核心验收指标。

3.3 规则落点：用 SYN 阈值检测讲清楚规则型 IDS 的边界

模型检测之外，课程设计里通常还要有一块规则检测，用来体现对误用检测的理解。SYN flood 检测是最经典的落点：统计每个源 IP 发出的 SYN 包数量，超过阈值就告警。实现非常简单，但阈值怎么设才是考察点。

from scapy.all import rdpcap, IP, TCP from collections import Counter def detect_syn_flood(pcap_path, threshold=100): packets = rdpcap(pcap_path) syn_count = Counter() for pkt in packets: if IP in pkt and TCP in pkt: tcp = pkt[TCP] # 0x02 是 SYN 标志位；还需要排除 SYN+ACK，那是握手响应 if tcp.flags == 0x02: syn_count[(pkt[IP].src, tcp.dport)] += 1 alerts = {k: v for k, v in syn_count.items() if v > threshold} return alerts

tcp.flags == 0x02只匹配纯 SYN 包，不同于tcp.flags & 0x02会连 SYN+ACK 一起算进去。这两者的区别是初学最容易踩的：如果误算了 SYN+ACK，正常握手流量也会被计进 SYN 数里，阈值再高都会被触发。

阈值 100 这个数字不是通用的，它取决于 pcap 的时长和网络规模。本地回环抓 30 秒可能只有几十个 SYN，阈值 100 永远不告警；在实验室网关抓 10 分钟，正常流量可能就有几百。我一般先把阈值设成 0 跑一遍，统计出正常基线，再取正常值的 5 到 10 倍作为最终阈值——这样做出来的规则才有说服力，而不是拍脑袋写个数字。规则检测的意义在于低延迟和可解释，它无法识别未知攻击，但能在模型需要离线训练的场景里给你一个实时告警的兜底方案。

4. 数字取证与流量取证的落地路径：pcap、内存与磁盘三条线

4.1 流量取证：tshark 三个命令快速定位可疑会话

数字取证的热门方向里，流量取证是回报最高的一条线：不需要磁盘镜像，不需要内存转储，一个 pcap 文件就能讲完整个故事。tshark 是 Wireshark 的命令行版，在课设里用它和 scapy 配合，一个负责快速筛查，一个负责精细提取。

第一个命令看会话统计，找出流量最大的前几个会话；第二个命令过滤 HTTP 明文请求，定位可疑域名和 URL；第三个命令找出只有 SYN 没有后续握手的半连接，这是扫描行为的特征。

# 会话统计：按 TCP 四元组聚合，看哪些连接占了主要流量 tshark -r capture.pcap -q -z conv,tcp # 提取明文 HTTP 请求，输出源 IP、域名和 URI tshark -r capture.pcap -Y "http.request" \ -T fields -e ip.src -e http.host -e http.request.uri # 找只有 SYN 没有 ACK 的异常连接（扫描特征） tshark -r capture.pcap -Y "tcp.flags.syn==1 and tcp.flags.ack==0" \ -T fields -e ip.src -e tcp.dstport

-Y后面是显示过滤器语法，和 Wireshark 里写的一样；-T fields配合-e指定要输出的字段，这比直接-V打印全部报文要清爽得多。流量取证的逻辑链条是：先看会话统计找到可疑对象，再用显示过滤器下钻到具体协议，最后用tshark -r xxx -w yyy.pcap把可疑流单独切出来保存，作为证据留档。注意切分时加-c限制包数，否则大 pcap 会一次性把所有包都写进新文件。

4.2 内存取证：Volatility 在课设里的三个常用插件

如果课设包包含内存取证模块，输入通常是一个.raw或.mem文件。Volatility 是这个环节的标准工具，虽然新版本已经演进到 Volatility 3，但很多课设运行说明仍以 Volatility 2 的命令格式为准，两者插件名差异不小。

Volatility 2 的三板斧是 imageinfo、pslist、netscan。imageinfo 先猜系统版本，pslist 列出进程，netscan 列出网络连接，正好覆盖“谁的机器、跑了什么、连了哪里”三个问题。

# 第一步：识别镜像的操作系统版本，拿到 profile 参数 volatility -f memory.raw imageinfo # 第二步：列出进程列表，找可疑的高权限进程 volatility -f memory.raw --profile=Win7SP1x64 pslist # 第三步：列出网络连接，找外联的可疑目标 volatility -f memory.raw --profile=Win7SP1x64 netscan

第二步必须先于第三步执行，因为 netscan 需要--profile参数才能正确解析内核结构。如果 imageinfo 给出了多个候选 profile，取第一个通常最稳。课设里内存镜像一般不会太大，几 GB 以内，Volatility 跑起来没问题，但如果内存镜像本身就是假的——用 dd 随便凑了个文件——imageinfo 会报错，这时不要怀疑工具，先确认镜像来源。内存取证的门槛比流量取证高，因为它依赖对操作系统内核结构的理解，出现报错时优先检查 profile 选没选对，其次是镜像字节序有没有被破坏。

4.3 磁盘取证：Autopsy 固定流程与报告结构

磁盘取证在课设里通常用 Autopsy 这类图形界面工具完成，不需要你手写代码。但没有代码不等于没有流程，磁盘取证最讲究的是操作顺序，因为证据可采性依赖于每一步都有记录。常规固定流程如下：

这里面最容易被课设验收追问的是第二步和第三步：添加镜像时 Autopsy 会提示你保存原始证据到独立目录，不要直接拿镜像文件本身作为工作副本，否则后续对文件的分析操作会改变镜像的修改时间，证据效力就打折扣了。哈希校验要在分析之前做，而不是之后——你先改了镜像内容再算哈希，算出来和源盘对不上，解释的成本就会高很多。

磁盘取证在课设里的定位通常是“展示完整的取证流程”，而不是像流量取证那样追求找到某个隐藏 flag。所以报告结构比检出率更重要，只要把“镜像信息、哈希值、分析时间线、可疑文件列表、结论”五段写全，这份课设的核心得分点就拿到了。

5. 课设包避坑：解压失败、伪加密、依赖冲突与版本玄学

5.1 zip 伪加密：有密码提示但运行说明没给密码

现象：运行说明里明明没提密码，解压时却弹出输入密码的对话框，而且随便输入什么都会报密码错误。

原因：这种 zip 的加密位在文件头里被置成 1，但数据区实际上没有被加密，学名叫做 zip 伪加密。课设资料包这种场景里频繁出现，可能是打包工具误设了标志位，也可能是有意做的防复制措施但没有把密码写进说明。

解决：如果手头有 7-Zip，打开压缩包看文件名后面有没有加密标记；再用下面的脚本把本地文件头里的加密标志位直接清掉，重新保存出的 zip 就能正常解压。

import struct def fix_fake_encryption(zip_path, out_path): data = bytearray(open(zip_path, "rb").read()) idx = 0 fixed = 0 while idx < len(data) - 30: # 0x04034b50 是 zip 本地文件头签名 if data[idx:idx + 4] == b"PK\x03\x04": flag_off = idx + 6 # 通用标志位字段 flags = struct.unpack("<H", data[flag_off:flag_off + 2])[0] if flags & 0x0001: # 加密位被置 1 data[flag_off:flag_off + 2] = struct.pack("<H", flags & ~0x0001) fixed += 1 name_len = struct.unpack("<H", data[idx + 26:idx + 28])[0] extra_len = struct.unpack("<H", data[idx + 28:idx + 30])[0] idx += 30 + name_len + extra_len # 跳到下一个本地文件头 else: idx += 1 with open(out_path, "wb") as f: f.write(data) print(f"fixed {fixed} entries -> {out_path}") fix_fake_encryption("input.zip", "fixed.zip")

逻辑是从文件头部开始逐字节扫描，遇到PK\x03\x04开头的本地文件头就检查偏移 6 处的两个字节，把最低位的加密标志清零，然后按文件名长度和扩展字段长度跳过当前条目，继续找下一个。注意脚本只处理了本地文件头，没有同步修改中央目录头，所以修复后的 zip 里文件时间可能显示异常，但解压没有影响。正规做法是把PK\x01\x02中央目录头里的标志位也一并改掉，不过课设场景通常没必要走到那一步。

5.2 Python 2/3 不兼容：语法错误和运行说明里的版本对不上

现象：运行入口一执行就报SyntaxError: invalid syntax，而且报错位置指向print或except那一行。

原因：源码是用 Python 2.7 写的，你在 Python 3 环境里跑，print "xxx"这种老语法在 Python 3 里直接解析失败。很多老课设包的运行说明里写的是“Python 2.7 环境”，但使用者不会留意这一行。

解决：先确认源码里有没有 Python 2 的专属写法，再决定是装 Python 2 还是做迁移。装 Python 2 在老系统上可行，但依赖库大多已停止更新；更实际的做法是用2to3工具自动迁移，再手动修正自动处理不了的少数行。

# 先定位 Python 2 语法特征 grep -rn "print .*,'" --include="*.py" . | head grep -rln "xrange" --include="*.py" . # 自动迁移整个目录里的源码 2to3 -w -n . # 迁移后再跑一遍入口脚本 python main.py

2to3 -w是直接写回原文件，-n是不生成.bak备份，迁移前建议先跑一次git init或cp -r保留原始版本，这是后悔药，不要省略。xrange会被自动替换成range，except Exception, e会被改成except Exception as e，但有些复杂场景比如 metaclass 语法差异，2to3 处理不了。迁移完以后不要认为一定没问题，把入口脚本完整跑一遍，遇到报错再按行修。

5.3 scapy 版本漂移：运行说明写的命令全对但就是报错

现象：代码里写着from scapy.all import sniff，你这行也没写错，但运行时报 AttributeError 找不到某个方法，或者抓包回调解不出来。

原因：scapy 2.4 到 2.5 之间有一些 API 变化，比如部分函数的返回类型变了，底层conf配置项改名了。如果运行说明里锁定了旧版本而你没注意，代码就可能踩在版本断层上。

解决：不折腾，按运行说明的版本装。运行说明没写版本号的，优先试 2.4.5，这是目前兼容性最广的版本。

# 卸载当前 scapy，避免残留干扰 pip uninstall scapy -y # 安装运行说明对应的版本；没说明就用 2.4.5 pip install scapy==2.4.5 # 装入后验证版本和关键 API python -c "import scapy; print(scapy.__version__)"

这里有个容易忽略的点：pip install scapy可能会装到 2.6 或更高，而代码是照 2.4 的写法写的。装完以后立刻验证版本，不要等到跑几十行才报错。还有如果系统里有多个 Python 环境，pip可能指向 base 环境而python指向虚拟环境，出现“pip 装完但 python import 不到”的现象。这种问题优先确认which python和which pip是不是同一个环境路径。

5.4 绝对路径和缺失的样本：运行报 FileNotFoundError

现象：一运行就报FileNotFoundError: [Errno 2] No such file or directory: 'C:/Users/xxx/Documents/...'，报错路径明显不是你当前的机器路径。

原因：作者把源码在自己机器上跑通后直接打包，没有把代码里的绝对路径改成相对路径，或没有把样本文件一起打进去。

解决：把所有硬编码的路径从源码里抽出来，改成命令行参数或脚本开头的常量，样本缺失就自己抓一个。

# 定位源码里所有硬编码路径，逐个替换为相对路径 grep -rn '[A-Za-z]:[/\]' --include="*.py" . # 没有样本时，抓回环流量造一个最小测试集 sudo tcpdump -i lo -c 500 -w samples/local.pcap # 改完路径后再跑 python main.py --pcap samples/local.pcap

这段操作里最容易漏掉的是 Windows 路径里的反斜杠，C:\data\train.pcap在 Python 字符串里会把\t解释成制表符，导致路径解析完全错乱。全局搜索路径时不要只找正斜杠，还要找反斜杠。我自己处理这类包时，会直接把所有读文件的地方改成os.path.join("data", "xxx.pcap")这种写法，以源码目录为基准，之后再怎么换机器都不会断。

5.5 源码和运行说明版本对不上：入口脚本不存在

现象：运行说明让你执行python detector.py，但源码目录里根本没有这个文件，或者有同名的但代码内容和说明描述的功能完全不一致。

原因：打包时把不同版本的代码混在一起了，运行说明可能是上一个版本的，代码是下一个版本的。课程设计包这种场景很常见，因为作者在交付前往往改了好几版，最后打包时拿错了目录。

解决：不依赖运行说明，直接从代码本身找入口。

# 找所有带 __main__ 入口的文件，这是最可靠的入口指纹 grep -rln "if __name__ == '__main__'" --include="*.py" . # 按文件大小排序，优先看体积最大的，通常是功能核心 find . -name "*.py" -exec ls -lS {} \; | head -10 # 用 import 关系粗查依赖链 grep -rn "^import \|^from " --include="*.py" | head -20

__main__入口是最准的线索，因为它意味着这个文件可以直接当脚本执行。如果多个文件都有__main__，优先跑文件名含train、detect、main的；都不像就挨个执行一遍，能出输出的那个基本就是正主。这个操作的本质是让代码自己告诉你它是什么，而不是让过时的运行说明误导你。

6. 把课设变成面试谈资：三个替换点与一个验证方法

6.1 做替换实验：模型、阈值、特征三个维度留痕

老师或面试官最常问的是“你在里面改了什么”。只跑通课设源码不加改动，只能说明执行力；做一组替换实验并且记录指标变化，才是加分项。最省事的做法是选一个维度做替换，比如把随机森林换成决策树或逻辑回归，保存对比结果。

from sklearn.tree import DecisionTreeClassifier from sklearn.linear_model import LogisticRegression models = { "rf": RandomForestClassifier(n_estimators=200, max_depth=12, random_state=42), "dt": DecisionTreeClassifier(max_depth=12, random_state=42), "lr": LogisticRegression(max_iter=1000, random_state=42), } results = {} for name, model in models.items(): model.fit(X_train, y_train) y_pred = model.predict(X_test) # 在这里计算 accuracy、recall、f1，存入 results 字典

替换实验的输出是一张对比表，放进课设报告里，对着指标说结论。强调一点：不追求所有模型都超过随机森林，课程设计的逻辑是解释为什么在这个数据集上随机森林优于逻辑回归、而决策树容易过拟合。真实的课设工程里，这个实验花不了多少时间，收益却是成倍的——它证明你理解模型的适用边界，而不是只会调 sklearn。

6.2 给取证输出加 SHA-256 校验

数字取证模块最容易在答辩时被质疑证据完整性。一个能立刻堵住话口的小技巧是给取证结果加上 SHA-256 哈希校验：对输入样本计算哈希并记录，对取证输出的报告目录计算哈希并记录，两者在报告里对得上，就能证明取证过程没有改变原始证据。

import hashlib def sha256_file(path): h = hashlib.sha256() with open(path, "rb") as f: while chunk := f.read(8192): h.update(chunk) return h.hexdigest() # 取证前先记录输入样本哈希 sample_hash = sha256_file("samples/local.pcap") print(f"input hash: {sample_hash}") # 取证过程结束，再对输出报告算一次总哈希 report_hash = sha256_file("reports/summary.txt") print(f"output hash: {report_hash}")

while chunk := f.read(8192)是海象运算符的典型用法，边读边算哈希，不把整个文件加载进内存。8KB 的块大小是通用选择，换成 64KB 对大文件更快、对内存的压力也完全可以承受；对小文件差异体现不出来。把这两个哈希值写进课设报告的“证据固定”小节，面试时被问“你怎么保证取证过程没有污染样本”，直接指向这两行记录就好。

6.3 让整个流程可复现：把启动命令写死进脚本

我自己的习惯是跑通之后，把“解压、装依赖、抓样本、跑检测、跑取证”这一整条链写成run.sh，每一步用set -e保证出错就停。这样做的目的不是给老师看，而是给一周后的自己看。课程设计答辩时间往往隔得久，到时候如果记不起当初是怎么跑的，一份可复现脚本比运行说明更可靠。

set -e python train.py --data data/features.csv python detect.py --pcap samples/test.pcap python forensic.py --pcap samples/test.pcap --out reports/

这三个命令中间穿插的路径调整、依赖修复，全是踩坑记录。把它们沉淀到脚本里，以后任何时候重新执行都能回到当时的正确状态。这也是我做课设和带新人时始终坚持的做法：代码最终要解决的是“换台机器还能跑”的问题，一切手感、直觉和临时修复都是不可靠的，只有写成脚本的步骤才算数。希望这些路径和坑位对你有用，少走一段我当时走过的弯路。

本文还有配套的精品资源，点击获取