简介东南大学网安学院网络入侵检测与数字取证课程设计资源以idshwk1至idshwk7七个作业模块为主线面向网安专业学生或相关课程学习者解决如何将IDS与数字取证理论落地为可运行实验的问题。压缩包共19个文件包括md格式README说明、rules检测规则test.rules、zeek脚本test.zeek、py辅助脚本test.py、pcap流量包、log日志及png示意图等总大小仅68KB目录按作业划分便于按需查阅。目前已有263人学习下载适合课程复习、实验参考与竞赛备赛。资源内含各作业的源码与运行说明覆盖特征匹配检测、DGA分析、Zeek网络流量解析、pcap取证等实践场景配合README可快速搭建环境并复现实验流程是理解网络入侵检测与数字取证实战的紧凑型工具包。1. 网络入侵检测与数字取证课程设计包一份源码齐备但入口隐蔽的网安课设临近期末手里这份标题叫《东南大学-网安学院-网络入侵检测与数字取证课程设计-内含源码和运行说明.zip》的包就是典型的“看得懂标题、找不到入口”的项目它同时覆盖网络入侵检测与数字取证两条线又带源码和运行说明听起来很完整可真到你手上第一步就可能卡在解压、依赖和样本文件上。这份包的价值在于让你用最短时间把两种能力串起来——用流量特征判断入侵行为再顺着证据链把数据固定下来。适合网安方向学生拿来作课设参考也适合刚入行的工程师想快速理解检测和取证怎么代码化。2. 从 zip 到可运行环境解压校验、目录解读与依赖补齐2.1 拿到包先做三件事校验、解压、看运行说明先别急着双击 zip也不要直接右键解压到当前目录。我处理过的课设压缩包至少有两成是下载中断或打包时没打全的解压到一半报unexpected EOF的体验非常糟糕。第一个动作是用unzip -t做完整性校验它能扫一遍压缩包里的每个文件条目确认结构没坏。# 把文件名存成变量避免反复敲一长串 zip_file东南大学-网安学院-网络入侵检测与数字取证课程设计-内含源码和运行说明.zip # 1. 测试 zip 完整性不通过就先重新下载别浪费时间 unzip -t $zip_file # 2. 解压到独立目录防止源码文件散落到桌面 unzip $zip_file -d course_design # 3. 进目录看结构和顶层文档 cd course_design ls -la find . -maxdepth 2 -type f | head -50unzip -t只做测试不落地文件输出末尾会有No errors detected才算通过。-d course_design指定解压目录是防止包内文件直接炸到当前路径下因为很多课设包的顶层目录命名不规范不隔离的话会把main.py、README.md这种通用文件名散到你项目根目录里。解压后先不碰代码找三样东西README 或运行说明文档、requirements.txt 或环境依赖清单、samples 或 data 目录。这类课设包通常走“源码笔记”的结构运行说明会放在根目录或 docs 文件夹里里面一般会写清实验环境、入口脚本、预期输出。先把这些读完再动手能省掉后面大半的玄学问题。2.2 从最小可行命令开始把入侵检测部分跑通网络入侵检测系统简称 IDS课设里最常见的实现分两派基于规则的误用检测和基于统计或机器学习的异常检测。前者像 Snort、Suricata 这类成熟引擎课程里会把规则集精简到几百条用 libpcap 抓包做匹配后者则是用 Python 对 pcap 文件离线提取特征再用 sklearn 或类似库训练分类器。这份课设包的入侵检测部分大概率落在后者入口文件名可能是train.py、detect.py或main.py先看运行说明确认入口不要盲目点开每个 py 文件。我的习惯是拉一个干净的虚拟环境避免把系统 Python 环境搞乱# 进入源码目录 cd course_design # 创建虚拟环境python3 版本以本机为准 python3 -m venv venv source venv/bin/activate # 安装依赖requirements.txt 缺失或安装失败时再按提示逐个装 pip install -r requirements.txt这一行的常见翻车点有两个。第一是 requirements.txt 里锁了老版本比如numpy1.19.5在新 Python 上装不上解决办法是去掉版本号重装pip install numpy课设代码对 numpy 版本并不挑剔能跑就行。第二是包内根本没有 requirements.txt这时需要看源码里 import 了哪些第三方库逐一手动装。最常见的组合是scapy、pandas、numpy、sklearn、matplotlib先装这几个八成够用。跑通后的预期输出是读入一个 pcap 文件对每条流量或会话做判断输出可疑事件列表并生成一张混淆矩阵或分类报告图。如果运行说明里写了入口脚本名直接执行如果没写用grep -n if __name__ *.py找带__main__入口的文件比逐个打开快得多。2.3 取证部分先解决输入样本再谈输出数字取证比入侵检测更依赖输入数据。检测脚本给一个 pcap 就能出结果而取证脚本有时需要磁盘镜像、内存转储或指定格式的抓包文件。这里要提前确认一件事包里的 samples 目录是不是空的。很多课设打包为了控制 zip 体积不会把几百 MB 的 pcap 放进压缩包运行说明里会写“请自行抓包”但第一次跑的人很容易在这里卡死。没有样本就用最小闭环造一个抓本机回环流量作为测试输入干净且可控不需要真实网络环境。# 检查样本目录不存在就创建 ls -la samples/ || mkdir -p samples # 抓 200 个回环接口的包作为取证模块的输入 sudo tcpdump -i lo -c 200 -w samples/local.pcap # 跑取证入口输出到 reports 目录 python forensic_analyze.py --pcap samples/local.pcap --out reports/抓回环流量是因为它不经过物理网卡不会有真实业务流量混进来结果可复现。tcpdump -c 200表示抓到 200 个包就自动退出避免一直挂在那里-w指定输出文件。取证脚本的输出通常是一个报告目录里面包含会话统计、可疑请求列表、文件提取结果。如果脚本需要的是其他格式输入比如 JSON 格式的流日志或 Volatility 的内存镜像那就要回到运行说明里确认别硬拿 pcap 往里塞。2.4 运行说明里最容易被忽略的三个字段版本、路径与数据我读过的课设运行说明大多有固定套路但有三类信息经常写得含糊恰恰是坑最密集的地方。整理成一张表拿到运行说明后先把这三列信息找出来填上字段为什么关键缺失时的影响Python 版本老课设可能用 Python 2.7 写的新环境直接语法报错脚本无法启动报错信息误导人第三方库版本scapy 2.4 与 2.5 的 API 有差异sklearn 旧接口已废弃运行到一半抛异常且报错行与源码不符样本文件路径运行说明写的路径可能是作者本机的绝对路径FileNotFoundError或读错文件出空结果路径问题我在 5.4 还会展开这里先记住一个原则运行说明写的路径只要在你的机器上不存在就优先改成相对路径而不是复制一份文件过去。比如说明里写D:/IDS/data/train.pcap你的机器上没有 D 盘就直接把 pcap 放到源码目录下的data/子目录里然后把启动参数或源码里的路径改成data/train.pcap。这个习惯能避免不少让人抓狂的环境问题。3. 把入侵检测部分改造成自己的方案特征、模型与规则替换3.1 从 pcap 里抽特征别把 IDS 当黑匣子课程设计的验收重点往往不是“检测准确率多高”而是“你能不能讲清楚为什么这个特征能反映入侵行为”。这决定了你必须亲手做特征工程而不是直接调库跑一个现成的分类器。常见做法是用 scapy 读取 pcap按包或按流提取统计特征。按流提取更接近检测语义因为入侵行为往往体现在一组包的协同特征上比如短时间内大量 SYN 包、单个 IP 的请求频率陡增。一个最小可用的特征提取如下from scapy.all import rdpcap, IP, TCP, UDP from collections import defaultdict def extract_flow_features(pcap_path): packets rdpcap(pcap_path) flows defaultdict(list) # 用 (src, sport, dst, dport) 作为流标识 for pkt in packets: if IP not in pkt: continue ip pkt[IP] flow_key (ip.src, ip.dst, ip.proto) if TCP in pkt: flow_key (ip.src, ip.dst, ip.proto, pkt[TCP].sport, pkt[TCP].dport) elif UDP in pkt: flow_key (ip.src, ip.dst, ip.proto, pkt[UDP].sport, pkt[UDP].dport) flows[flow_key].append(pkt) feature_rows [] for key, pkts in flows.items(): sizes [len(p) for p in pkts] feature_rows.append({ flow_key: key, packet_count: len(pkts), bytes_total: sum(sizes), bytes_avg: sum(sizes) / len(sizes), time_span: max(p.time for p in pkts) - min(p.time for p in pkts), }) return feature_rows这段代码把每个流拆成四个统计维度包数量、总字节数、平均包长、时间跨度。包数量和总字节数用于识别扫描型攻击平均包长用于识别特征载荷时间跨度用于判断是否存在低速慢扫描的隐秘行为。defaultdict(list)在这里很关键它省去了手动判断 key 是否存在再初始化的步骤。真正拿到课设源码时你可以对照它的特征列表看有没有覆盖到协议类型、TCP 标志位分布、上下行流量比例这几个维度——这些都是 IDS 特征工程里出现频率最高的字段。3.2 模型选型为什么课设标配是随机森林而不是深度学习很多人在课设里会纠结要不要上深度学习我的建议是别。课设训练数据通常是几十万条以内的 CSV特征维度几十个这种规模用随机森林或梯度提升树就能拿到足够漂亮的指标而深度学习需要调的学习率、批大小、网络深度会消耗大量时间还可能因为数据量不够而欠拟合。随机森林的优势是可解释、超参数少、对类别不平衡相对稳健这三个特性正好凑齐了课设验收的要害——老师问“为什么用这个模型”时你能说出依据而不是回答“感觉效果好”。一个可直接套用的训练流程import pandas as pd from sklearn.ensemble import RandomForestClassifier from sklearn.model_selection import train_test_split from sklearn.metrics import classification_report # 假设已经有了特征 CSV每行一个样本label 列是攻击类型 df pd.read_csv(features.csv) X df.drop(columns[label, flow_key]) # flow_key 是标识列不参与训练 y df[label] # 分层切分保证训练集和测试集里各类别比例一致 X_train, X_test, y_train, y_test train_test_split( X, y, test_size0.3, random_state42, stratifyy ) clf RandomForestClassifier( n_estimators200, # 树的数量越大越稳但训练时间线性增长 max_depth12, # 限制深度防止对训练集记忆过深 min_samples_leaf4, # 叶节点最少样本数对噪声有抑制作用 random_state42, n_jobs-1 # 使用所有 CPU 核心课设数据量小不会造成压力 ) clf.fit(X_train, y_train) print(classification_report(y_test, clf.predict(X_test), digits4))这里三个超参数各有讲究n_estimators从 100 加到 300 通常能提升 1 到 2 个百分点的稳定性再往上收益就很小了max_depth设得太深会记住训练集里的噪声导致测试集指标下降min_samples_leaf是对抗样本不平衡的手段当某个攻击类型样本很少时这个参数能阻止模型把少数类彻底忽略。stratifyy是防止切分后测试集里碰巧没有某种攻击类型那样分类报告会直接报错或给出误导性的 0。跑通之后建议把分类报告的 precision、recall、F1 抄到课设报告里这就是你的核心验收指标。3.3 规则落点用 SYN 阈值检测讲清楚规则型 IDS 的边界模型检测之外课程设计里通常还要有一块规则检测用来体现对误用检测的理解。SYN flood 检测是最经典的落点统计每个源 IP 发出的 SYN 包数量超过阈值就告警。实现非常简单但阈值怎么设才是考察点。from scapy.all import rdpcap, IP, TCP from collections import Counter def detect_syn_flood(pcap_path, threshold100): packets rdpcap(pcap_path) syn_count Counter() for pkt in packets: if IP in pkt and TCP in pkt: tcp pkt[TCP] # 0x02 是 SYN 标志位还需要排除 SYNACK那是握手响应 if tcp.flags 0x02: syn_count[(pkt[IP].src, tcp.dport)] 1 alerts {k: v for k, v in syn_count.items() if v threshold} return alertstcp.flags 0x02只匹配纯 SYN 包不同于tcp.flags 0x02会连 SYNACK 一起算进去。这两者的区别是初学最容易踩的如果误算了 SYNACK正常握手流量也会被计进 SYN 数里阈值再高都会被触发。阈值 100 这个数字不是通用的它取决于 pcap 的时长和网络规模。本地回环抓 30 秒可能只有几十个 SYN阈值 100 永远不告警在实验室网关抓 10 分钟正常流量可能就有几百。我一般先把阈值设成 0 跑一遍统计出正常基线再取正常值的 5 到 10 倍作为最终阈值——这样做出来的规则才有说服力而不是拍脑袋写个数字。规则检测的意义在于低延迟和可解释它无法识别未知攻击但能在模型需要离线训练的场景里给你一个实时告警的兜底方案。4. 数字取证与流量取证的落地路径pcap、内存与磁盘三条线4.1 流量取证tshark 三个命令快速定位可疑会话数字取证的热门方向里流量取证是回报最高的一条线不需要磁盘镜像不需要内存转储一个 pcap 文件就能讲完整个故事。tshark 是 Wireshark 的命令行版在课设里用它和 scapy 配合一个负责快速筛查一个负责精细提取。第一个命令看会话统计找出流量最大的前几个会话第二个命令过滤 HTTP 明文请求定位可疑域名和 URL第三个命令找出只有 SYN 没有后续握手的半连接这是扫描行为的特征。# 会话统计按 TCP 四元组聚合看哪些连接占了主要流量 tshark -r capture.pcap -q -z conv,tcp # 提取明文 HTTP 请求输出源 IP、域名和 URI tshark -r capture.pcap -Y http.request \ -T fields -e ip.src -e http.host -e http.request.uri # 找只有 SYN 没有 ACK 的异常连接扫描特征 tshark -r capture.pcap -Y tcp.flags.syn1 and tcp.flags.ack0 \ -T fields -e ip.src -e tcp.dstport-Y后面是显示过滤器语法和 Wireshark 里写的一样-T fields配合-e指定要输出的字段这比直接-V打印全部报文要清爽得多。流量取证的逻辑链条是先看会话统计找到可疑对象再用显示过滤器下钻到具体协议最后用tshark -r xxx -w yyy.pcap把可疑流单独切出来保存作为证据留档。注意切分时加-c限制包数否则大 pcap 会一次性把所有包都写进新文件。4.2 内存取证Volatility 在课设里的三个常用插件如果课设包包含内存取证模块输入通常是一个.raw或.mem文件。Volatility 是这个环节的标准工具虽然新版本已经演进到 Volatility 3但很多课设运行说明仍以 Volatility 2 的命令格式为准两者插件名差异不小。Volatility 2 的三板斧是 imageinfo、pslist、netscan。imageinfo 先猜系统版本pslist 列出进程netscan 列出网络连接正好覆盖“谁的机器、跑了什么、连了哪里”三个问题。# 第一步识别镜像的操作系统版本拿到 profile 参数 volatility -f memory.raw imageinfo # 第二步列出进程列表找可疑的高权限进程 volatility -f memory.raw --profileWin7SP1x64 pslist # 第三步列出网络连接找外联的可疑目标 volatility -f memory.raw --profileWin7SP1x64 netscan第二步必须先于第三步执行因为 netscan 需要--profile参数才能正确解析内核结构。如果 imageinfo 给出了多个候选 profile取第一个通常最稳。课设里内存镜像一般不会太大几 GB 以内Volatility 跑起来没问题但如果内存镜像本身就是假的——用 dd 随便凑了个文件——imageinfo 会报错这时不要怀疑工具先确认镜像来源。内存取证的门槛比流量取证高因为它依赖对操作系统内核结构的理解出现报错时优先检查 profile 选没选对其次是镜像字节序有没有被破坏。4.3 磁盘取证Autopsy 固定流程与报告结构磁盘取证在课设里通常用 Autopsy 这类图形界面工具完成不需要你手写代码。但没有代码不等于没有流程磁盘取证最讲究的是操作顺序因为证据可采性依赖于每一步都有记录。常规固定流程如下步骤操作产物创建案例在 Autopsy 中新建 Case输入案件编号案例目录添加镜像加载磁盘镜像文件确认哈希值原始证据副本提取哈希计算镜像 SHA-256与源盘比对哈希校验报告文件分析浏览删除文件、回收站、浏览器历史可疑文件清单生成报告导出 HTML 或 PDF 报告完整取证报告这里面最容易被课设验收追问的是第二步和第三步添加镜像时 Autopsy 会提示你保存原始证据到独立目录不要直接拿镜像文件本身作为工作副本否则后续对文件的分析操作会改变镜像的修改时间证据效力就打折扣了。哈希校验要在分析之前做而不是之后——你先改了镜像内容再算哈希算出来和源盘对不上解释的成本就会高很多。磁盘取证在课设里的定位通常是“展示完整的取证流程”而不是像流量取证那样追求找到某个隐藏 flag。所以报告结构比检出率更重要只要把“镜像信息、哈希值、分析时间线、可疑文件列表、结论”五段写全这份课设的核心得分点就拿到了。5. 课设包避坑解压失败、伪加密、依赖冲突与版本玄学5.1 zip 伪加密有密码提示但运行说明没给密码现象运行说明里明明没提密码解压时却弹出输入密码的对话框而且随便输入什么都会报密码错误。原因这种 zip 的加密位在文件头里被置成 1但数据区实际上没有被加密学名叫做 zip 伪加密。课设资料包这种场景里频繁出现可能是打包工具误设了标志位也可能是有意做的防复制措施但没有把密码写进说明。解决如果手头有 7-Zip打开压缩包看文件名后面有没有加密标记再用下面的脚本把本地文件头里的加密标志位直接清掉重新保存出的 zip 就能正常解压。import struct def fix_fake_encryption(zip_path, out_path): data bytearray(open(zip_path, rb).read()) idx 0 fixed 0 while idx len(data) - 30: # 0x04034b50 是 zip 本地文件头签名 if data[idx:idx 4] bPK\x03\x04: flag_off idx 6 # 通用标志位字段 flags struct.unpack(H, data[flag_off:flag_off 2])[0] if flags 0x0001: # 加密位被置 1 data[flag_off:flag_off 2] struct.pack(H, flags ~0x0001) fixed 1 name_len struct.unpack(H, data[idx 26:idx 28])[0] extra_len struct.unpack(H, data[idx 28:idx 30])[0] idx 30 name_len extra_len # 跳到下一个本地文件头 else: idx 1 with open(out_path, wb) as f: f.write(data) print(ffixed {fixed} entries - {out_path}) fix_fake_encryption(input.zip, fixed.zip)逻辑是从文件头部开始逐字节扫描遇到PK\x03\x04开头的本地文件头就检查偏移 6 处的两个字节把最低位的加密标志清零然后按文件名长度和扩展字段长度跳过当前条目继续找下一个。注意脚本只处理了本地文件头没有同步修改中央目录头所以修复后的 zip 里文件时间可能显示异常但解压没有影响。正规做法是把PK\x01\x02中央目录头里的标志位也一并改掉不过课设场景通常没必要走到那一步。5.2 Python 2/3 不兼容语法错误和运行说明里的版本对不上现象运行入口一执行就报SyntaxError: invalid syntax而且报错位置指向print或except那一行。原因源码是用 Python 2.7 写的你在 Python 3 环境里跑print xxx这种老语法在 Python 3 里直接解析失败。很多老课设包的运行说明里写的是“Python 2.7 环境”但使用者不会留意这一行。解决先确认源码里有没有 Python 2 的专属写法再决定是装 Python 2 还是做迁移。装 Python 2 在老系统上可行但依赖库大多已停止更新更实际的做法是用2to3工具自动迁移再手动修正自动处理不了的少数行。# 先定位 Python 2 语法特征 grep -rn print .*, --include*.py . | head grep -rln xrange --include*.py . # 自动迁移整个目录里的源码 2to3 -w -n . # 迁移后再跑一遍入口脚本 python main.py2to3 -w是直接写回原文件-n是不生成.bak备份迁移前建议先跑一次git init或cp -r保留原始版本这是后悔药不要省略。xrange会被自动替换成rangeexcept Exception, e会被改成except Exception as e但有些复杂场景比如 metaclass 语法差异2to3 处理不了。迁移完以后不要认为一定没问题把入口脚本完整跑一遍遇到报错再按行修。5.3 scapy 版本漂移运行说明写的命令全对但就是报错现象代码里写着from scapy.all import sniff你这行也没写错但运行时报 AttributeError 找不到某个方法或者抓包回调解不出来。原因scapy 2.4 到 2.5 之间有一些 API 变化比如部分函数的返回类型变了底层conf配置项改名了。如果运行说明里锁定了旧版本而你没注意代码就可能踩在版本断层上。解决不折腾按运行说明的版本装。运行说明没写版本号的优先试 2.4.5这是目前兼容性最广的版本。# 卸载当前 scapy避免残留干扰 pip uninstall scapy -y # 安装运行说明对应的版本没说明就用 2.4.5 pip install scapy2.4.5 # 装入后验证版本和关键 API python -c import scapy; print(scapy.__version__)这里有个容易忽略的点pip install scapy可能会装到 2.6 或更高而代码是照 2.4 的写法写的。装完以后立刻验证版本不要等到跑几十行才报错。还有如果系统里有多个 Python 环境pip可能指向 base 环境而python指向虚拟环境出现“pip 装完但 python import 不到”的现象。这种问题优先确认which python和which pip是不是同一个环境路径。5.4 绝对路径和缺失的样本运行报 FileNotFoundError现象一运行就报FileNotFoundError: [Errno 2] No such file or directory: C:/Users/xxx/Documents/...报错路径明显不是你当前的机器路径。原因作者把源码在自己机器上跑通后直接打包没有把代码里的绝对路径改成相对路径或没有把样本文件一起打进去。解决把所有硬编码的路径从源码里抽出来改成命令行参数或脚本开头的常量样本缺失就自己抓一个。# 定位源码里所有硬编码路径逐个替换为相对路径 grep -rn [A-Za-z]:[/\] --include*.py . # 没有样本时抓回环流量造一个最小测试集 sudo tcpdump -i lo -c 500 -w samples/local.pcap # 改完路径后再跑 python main.py --pcap samples/local.pcap这段操作里最容易漏掉的是 Windows 路径里的反斜杠C:\data\train.pcap在 Python 字符串里会把\t解释成制表符导致路径解析完全错乱。全局搜索路径时不要只找正斜杠还要找反斜杠。我自己处理这类包时会直接把所有读文件的地方改成os.path.join(data, xxx.pcap)这种写法以源码目录为基准之后再怎么换机器都不会断。5.5 源码和运行说明版本对不上入口脚本不存在现象运行说明让你执行python detector.py但源码目录里根本没有这个文件或者有同名的但代码内容和说明描述的功能完全不一致。原因打包时把不同版本的代码混在一起了运行说明可能是上一个版本的代码是下一个版本的。课程设计包这种场景很常见因为作者在交付前往往改了好几版最后打包时拿错了目录。解决不依赖运行说明直接从代码本身找入口。# 找所有带 __main__ 入口的文件这是最可靠的入口指纹 grep -rln if __name__ __main__ --include*.py . # 按文件大小排序优先看体积最大的通常是功能核心 find . -name *.py -exec ls -lS {} \; | head -10 # 用 import 关系粗查依赖链 grep -rn ^import \|^from --include*.py | head -20__main__入口是最准的线索因为它意味着这个文件可以直接当脚本执行。如果多个文件都有__main__优先跑文件名含train、detect、main的都不像就挨个执行一遍能出输出的那个基本就是正主。这个操作的本质是让代码自己告诉你它是什么而不是让过时的运行说明误导你。6. 把课设变成面试谈资三个替换点与一个验证方法6.1 做替换实验模型、阈值、特征三个维度留痕老师或面试官最常问的是“你在里面改了什么”。只跑通课设源码不加改动只能说明执行力做一组替换实验并且记录指标变化才是加分项。最省事的做法是选一个维度做替换比如把随机森林换成决策树或逻辑回归保存对比结果。from sklearn.tree import DecisionTreeClassifier from sklearn.linear_model import LogisticRegression models { rf: RandomForestClassifier(n_estimators200, max_depth12, random_state42), dt: DecisionTreeClassifier(max_depth12, random_state42), lr: LogisticRegression(max_iter1000, random_state42), } results {} for name, model in models.items(): model.fit(X_train, y_train) y_pred model.predict(X_test) # 在这里计算 accuracy、recall、f1存入 results 字典替换实验的输出是一张对比表放进课设报告里对着指标说结论。强调一点不追求所有模型都超过随机森林课程设计的逻辑是解释为什么在这个数据集上随机森林优于逻辑回归、而决策树容易过拟合。真实的课设工程里这个实验花不了多少时间收益却是成倍的——它证明你理解模型的适用边界而不是只会调 sklearn。6.2 给取证输出加 SHA-256 校验数字取证模块最容易在答辩时被质疑证据完整性。一个能立刻堵住话口的小技巧是给取证结果加上 SHA-256 哈希校验对输入样本计算哈希并记录对取证输出的报告目录计算哈希并记录两者在报告里对得上就能证明取证过程没有改变原始证据。import hashlib def sha256_file(path): h hashlib.sha256() with open(path, rb) as f: while chunk : f.read(8192): h.update(chunk) return h.hexdigest() # 取证前先记录输入样本哈希 sample_hash sha256_file(samples/local.pcap) print(finput hash: {sample_hash}) # 取证过程结束再对输出报告算一次总哈希 report_hash sha256_file(reports/summary.txt) print(foutput hash: {report_hash})while chunk : f.read(8192)是海象运算符的典型用法边读边算哈希不把整个文件加载进内存。8KB 的块大小是通用选择换成 64KB 对大文件更快、对内存的压力也完全可以承受对小文件差异体现不出来。把这两个哈希值写进课设报告的“证据固定”小节面试时被问“你怎么保证取证过程没有污染样本”直接指向这两行记录就好。6.3 让整个流程可复现把启动命令写死进脚本我自己的习惯是跑通之后把“解压、装依赖、抓样本、跑检测、跑取证”这一整条链写成run.sh每一步用set -e保证出错就停。这样做的目的不是给老师看而是给一周后的自己看。课程设计答辩时间往往隔得久到时候如果记不起当初是怎么跑的一份可复现脚本比运行说明更可靠。set -e python train.py --data data/features.csv python detect.py --pcap samples/test.pcap python forensic.py --pcap samples/test.pcap --out reports/这三个命令中间穿插的路径调整、依赖修复全是踩坑记录。把它们沉淀到脚本里以后任何时候重新执行都能回到当时的正确状态。这也是我做课设和带新人时始终坚持的做法代码最终要解决的是“换台机器还能跑”的问题一切手感、直觉和临时修复都是不可靠的只有写成脚本的步骤才算数。希望这些路径和坑位对你有用少走一段我当时走过的弯路。本文还有配套的精品资源点击获取
