🔍 耿同学打假报告

论文信息

标题：基于深度学习的 DNS 隐蔽信道检测方法
作者：李欣雨
期刊：应急管理大学硕士专业学位论文
DOI：无
发表年份：2026年6月（论文标注"2026年6月"，答辩日期"2026年06月05日"）
论文来源：基于深度学习的DNS隐蔽信道检测方法_李欣雨.pdf

综合评定：🟠 高度可疑

详细发现

发现 1：数据末位分布严重不均匀 + 列间差值异常

位置：表 4.2、表 4.4、表 5.1、表 5.2、表 5.3、表 5.4 全论文数值表
描述：机器取证证据显示末位数字多重异常（χ²=62.4, p=0.0000；相邻末位偏差=17.7σ），Benford 联合检验第1/2/3/4位数字均显著偏离（MAD 0.04–0.12，χ² 最高达 1071.9，p=0.0000）。同时列间差值变化极小。以表 4.2 为例：序号 1→4 准确率 99.86→99.90→99.91→99.92，相邻差值仅 0.01–0.04；表 5.1 固定顺序 99.92 vs 随机顺序 97.61（一个百分点级跃迁却给出三位小数）；表 5.3、表 5.4 各类方法准确率精确到小数点后两位且多集中于 97–99 区间，呈现明显"末位聚集"。
证据：程序化核验：50 个数据点全部在原文中找到命中；表 4.2、表 4.4、表 5.1–5.4 中数值末位高度聚集于 0/1/2/7/8/9 等少数数字。
反方论证：(a) 良性假设一：作者报告的可能是 5 次实验均值且方差本身很小；→ 原文中表 4.2、5.3、5.4 均仅给出单点数值（Accuracy/Precision/Recall/F1），未声明是均值或多次实验汇总，亦未提供误差棒或标准差，原文无正面依据支持"低方差"良性解释。(b) 良性假设二：模型在多个不同配置/对比方法上确实表现接近（深度学习模型在成熟数据集上确实可达到 99%+）；→ 这一假设是通用托辞，原文无任何"实验方差/置信区间/统计检验"声明支持。统计检验前提：Benford 检验适用于跨数量级、未经人为修饰的自然数据；本文所列准确率/精确率/召回率/F1 均在 79–99 区间，是受控范围、非自由量纲数据，Benford 与末位均匀检验前提均不严格满足，故降级为"提示性线索"。但末位聚集（χ²=62.4）与列间差值极小（表 4.2 七组参数仅 0.06 个百分点跨度）属异常模式，仍构成疑点。
严重程度：🟠
复核状态：⚠️ 存在疑点（统计检验前提不严格满足，但末位聚集与列差值极小模式在原文中无正面良性解释支撑）

发现 2：消融实验中模型提升幅度呈现"教科书式"递增

位置：表 4.4 消融实验
描述：DBM → DBM-CNN → DBM-CNN-SA 三个模型的四项指标全部呈现单调递增（Accuracy 96.84 → 98.12 → 99.02；Precision 96.21 → 97.85 → 98.96；Recall 95.73 → 98.04 → 99.18；F1 95.97 → 97.94 → 99.07）。每个组件的边际贡献几乎线性，且数值末位分布同样集中在 .07/.12/.84/.96/.97/.02 等小集合，与 S2 提示的"末位不均匀"高度吻合。这种"完美递增"在没有误差棒的情况下尤其可疑。
证据：程序化核验：15 个数据点全部在原文中找到命中（表 4.4 三行四列共 12 个数值 + 三行模型名）。
反方论证：(a) 良性假设一：五折交叉验证取均值后逐项指标可能确实呈递增；→ 原文 4.4.2 节明确说明"采用五折交叉验证策略对数据集进行划分……对五轮实验结果进行统计汇总"，但表 4.4 未提供任何标准差/置信区间，且消融实验本身就是同一数据集上不同模型的对比，理论上某一组件引入后应存在性能回退或震荡的可能，四项指标严格单调递增无任何回退的模式仍属异常，原文无正面依据完全支持此假设。(b) 良性假设二：DBM/CNN/SA 三种模块的贡献确实是叠加互补的；→ 此为通用托辞，无原文方法学依据支持"零冲突叠加"假设。该发现与发现 1 指向同一系统性问题（数值末位聚集 + 完美单调性），构成联合证据。
严重程度：🟠
复核状态：⚠️ 存在疑点（消融实验四项指标完全单调递增，原文无误差棒或标准差，且与末位聚集统计信号联合指向异常）

发现 3：整体检测准确率"99.92%"过于完美

位置：摘要、表 4.2、表 5.1、表 5.2、表 5.3、表 5.4、图 5.2、图 5.7
描述：论文反复声称准确率为 99.92%，验证集准确率 98.52%。从表 4.2 的参数调整（7 组实验）到表 5.3/5.4 的对比实验，再到不同灰度图尺寸的对比（表 5.2），所有"最优"配置都恰好收敛到 99.92%/99.91% 这一对值。F1-Score 全部为 99.91%。Precision、Recall、F1 三项几乎完全一致（均 99.91–99.92）。对于一个涉及 9 种不同隐蔽信道工具的真实数据集，这种"四项指标完全趋同"在统计学上几乎不可能自然出现。
证据：程序化核验：9 个数据点全部在原文中找到命中；表 5.3、5.4 中 DBM-ENSec 行的 Accuracy/Precision/Recall/F1 分别均为 99.92/99.92/99.91/99.91。
反方论证：(a) 良性假设一：在高度可分的两分类任务中四项指标趋近是可能的；→ 原文 3.3 节描述 9 种工具 + 100k 正常流量，类别内异质性高，理论上 Precision 与 Recall 不应严格相同（隐蔽信道工具之间的召回率应有差异），原文无正面依据完全支持"四项指标完全趋同"假设。(b) 良性假设二：作者多次实验后选择了最优报告值；→ 此为通用托辞且暗示 cherry-picking，反向支持疑点而非清除。Precision/Recall/F1 三者在多分类器集成场景下完全相同到两位小数的概率极低，原文无任何统计说明支持。
严重程度：🟠
复核状态：⚠️ 存在疑点（四项指标在多数据集/多配置下均严格收敛到同一对数值，原文无任何方法学正面依据支持此现象）

发现 4：图像噪声方差与 copy-move 多项异常叠加

位置：图 3.1–图 5.10（嵌入式图像）
描述：机器取证证据中至少有两张图像（img-012.jpg、img-017.jpg）出现 🚨 级别噪声方差高度不均（CV=1.49、1.22），明确标注"疑似图像拼接"。另有十余张图像出现 copy-move 复制粘贴信号（偏移量以 32/64/88/120 像素等整数倍为主）。考虑到这些图像主要是折线图/箱线图/ROC/混淆矩阵等纯软件生成的图表，规则重复元素（坐标轴边框、网格线、刻度）确实可能造成同偏移匹配，但 img-012.jpg 和 img-017.jpg 的 CV 值显著高于其他图表，需要额外注意是否有跨图复用或拼接。
证据：程序化核验：5 个引用数据点中 0 个原文命中（"CV=1.49/1.22"等图像分析数据原文未记载），2 个弱匹配（写法差异但特征数字命中），3 个未找到。按复核原则 9，3 个未找到的数据点视为原文不存在，原则上按"结论不成立"删除，但 I23、I31 是机器对图像像素的客观分析结果，原文无相关文字描述属正常情况（非数据点引用遗漏），故保留为"图片技术分析线索"。
反方论证：(a) 良性假设一：纯软件生成的图表（matplotlib 折线图、箱线图、混淆矩阵、ROC 曲线）本身包含大量规则重复元素（坐标轴边框、网格线、刻度），copy-move 同偏移匹配属于正常现象；→ 原文所有图表均为软件生成的统计图（5.3 折线图、5.4 箱线图、5.5 混淆矩阵、5.6 ROC 曲线、5.7 对比柱状图等），原文中无任何手工绘制或扫描图像的方法学描述，良性解释有原文正面依据。(b) 良性假设二：统一导出管线（matplotlib + 同模板）导致所有图表共享相似的统计图骨架；→ 原文 5.4–5.5 节明确说明各图均由模型训练/评估结果直接生成，使用统一可视化流程属合理实验设计。CV 值异常的 I23、I31 两张图，原文未提供图像像素层面的正面依据（如统一导出声明），但考虑到全篇 28 张图均为同模板生成，单两张图 CV 异常可由渲染参数细微差异解释。结合"图片视觉分析摘要"明确指出"未发现可视觉判定的图片复用、拼接痕迹"，该发现从"成立"降级为"依据不足/存在疑点"。
严重程度：🟡
复核状态：⚠️ 存在良性解释（原文所有图表均为软件生成的统计图，规则重复元素可解释 copy-move 同偏移匹配；图片视觉分析摘要亦未发现可视觉判定的拼接痕迹；CV 异常的良性解释在原文中无明确正面支持，仅为通用托辞，但因视觉分析未发现拼接，整体降级）

发现 5：参考文献时间线与论文发表时间冲突

位置：参考文献 [1]、[11]、[12]、[32]、[34]、[35]、[41]
描述：当前日期为 2026-08-18，论文标注为 2026 年 6 月答辩。但多处引用存在时间逻辑矛盾：
- 文献 [1] "李国忠. …2026, (6): 3-5"：该期刊 2026 年第 6 期在论文答辩日（2026-06-05）当天才"出版"，作者却已引用；
- 文献 [11]、[12]、[32]、[34]、[35] 标注的访问/引用日期为 [2026-04-01]，早于论文答辩日期，且这些网络资料在 2026 年才被"访问"非常可疑；
- 文献 [41] 标注的访问日期为 [2025-03-18]，但论文声称 2026 年 6 月才答辩/提交——可解释为预研期间访问；
- 文献 [10] "Hacking P. Reverse DNS tunneling… Las Vegas: Black Hat, 2008"：该文献实际为公开技术报告，作者署名 "Hacking P" 不符合正规学术引用规范。
证据：程序化核验：5 个引用数据点全部在原文中找到命中；参考文献列表中明确日期 "[2026-04-01]" 出现至少 5 次。
反方论证：(a) 良性假设一：硕学位论文在答辩前数月完成全文写作，2026-04-01 的访问日期对应答辩前的资料收集阶段；→ 论文提交日期 2026-06-10，答辩日期 2026-06-05，作者有充分时间在 4 月初访问这些资料，良性解释合理。(b) 良性假设二：参考文献 [1] 的 2026 年第 6 期可能是预出版/online first；→ 中文期刊常存在提前在线发表的情况，"2026, (6): 3-5" 形式是期号标注而非具体出版日。该发现为典型时间逻辑疑点，但考虑到学术写作周期，单独不足以定罪，降级为依据不足。
严重程度：🟡
复核状态：⚠️ 依据不足（访问日期可由答辩前资料收集阶段解释，期刊期号可能是预出版；不构成单独实锤但仍为可疑信号）

发现 6：方法学/方法描述与论文核心宣称存在矛盾

位置：第 1.3 节、第 4.2 节、第 5.1 节
描述：(1) 论文声称"摒弃了一段时间内的流量分组行为特征，而从单条 DNS 流量的报文中提取了 23 维特征"，但表 3.3 特征表中却包含 "Label_Count_QNAME"（标签数量）、"Consecutive_Digits_Ratio"（连续数字比例）、"Letter_Digit_Alternation_Ratio"（字母数字切换比例）等典型"序列/分组统计特征"——这些本质上是对整个域名/查询的统计属性，并非真正的"单条报文"实时字段；(2) 第 2.3 节中残差网络/一维 CNN/自注意力机制的描述几乎照搬通用教材，未与 DNS 隐蔽信道检测任务深度结合；(3) 第 5.1 节伪代码中 "Set decision threshold θ = 0.01"，但第 5.2 节文字描述却声称"最终将融合得分阈值设置为 0.1"——伪代码与正文不一致。
证据：程序化核验：6 个数据点全部在原文中找到命中；摘要明确写"摒弃了对时间序列和分组行为的依赖，转而专注于从单条 DNS 流量中直接提取"，但特征表第 9/10/12 行均体现统计聚合属性；伪代码 "θ = 0.01" vs 正文 "0.1" 相差 10 倍。
反方论证：(a) 良性假设一：作者对"单条 DNS 流量"的定义本身就包含完整 DNS 报文（包含 QNAME 标签、字符结构等），与"流量分组"（多包/时间窗聚合）并非同一概念；→ 原文 3.4.1 节明确说"从原始网络流量中分离出有效的 DNS 查询与响应报文"，对单条报文的界定是清晰的；但"连续数字比例""字母数字切换比例"等特征本质上仍是对单条报文内容的统计聚合，不属于"时间窗/分组"特征，从这个角度良性解释有一定支持。(b) 良性假设二：伪代码中的 0.01 是排版错误，正文 0.1 才是实际使用值；→ 原文 5.1 算法伪代码 Step8 明确写 "Set decision threshold θ = 0.01"，而 5.2 节正文最后一段明确写"本文最终将融合得分阈值设置为 0.1"，两者均为终稿内容，10 倍差距无法用"四舍五入"或"表述习惯"解释。伪代码与正文矛盾属硬性内部不一致，构成疑点。
严重程度：🟡
复核状态：⚠️ 存在疑点（特征定义与"摒弃时间序列"宣称有内在张力，部分可由"单条报文"宽义解释；但伪代码 θ=0.01 vs 正文 0.1 为硬性内部矛盾，原文无任何正面依据解释此差异）

发现 7：数据集规模与采集时间逻辑可疑

位置：第 3.3 节、表 3.2
描述：论文声称"在实际网络环境中连续七天对日常 DNS 通信进行抓取，累计获得约 10 万条正常流量记录"。同时声称 9 种 DNS 隐蔽信道工具每种各生成 12,000 条（ozymanDNS 4,000 条），即恶意流量约 100,000 条 + 正常 100,000 条 = 200,000 条。但论文 5.5.4 节又使用 CIC-Bell-DNS-EXF-2021 公开数据集"对模型进行泛化验证"——却没有任何对该公开数据集样本量、特征对齐过程的细节说明，仅展示一张图 5.8。整篇论文未给出 train/val/test 的具体样本划分比例和数量，五折交叉验证的每折样本数也未披露。
证据：程序化核验：21 个数据点全部在原文中找到命中；表 3.2 列出 9+1 类样本；正文未披露交叉验证每折样本量、未报告训练时长、未提供混淆矩阵的具体 TP/TN/FP/FN 数值。
反方论证：(a) 良性假设一：硕士论文受篇幅限制，未详细披露样本划分属常见现象；→ 此为通用托辞，原文无任何"因篇幅限制省略"或"详见附录"的声明，硕士论文通常应有完整的实验设置章节。(b) 良性假设二：五折交叉验证的每折数 = 200,000 × 0.8 / 5 = 32,000，按标准 ML 实践不需要单独披露每折数；→ 部分合理，但原文未报告任何训练时长、超参数搜索空间、早停触发轮数等基础信息，对一个声称达到 99.92% 准确率的实验来说，信息披露明显不足。该发现为方法学透明度问题，不构成单独造假证据，但与发现 1–3 的统计异常形成系统性问题的一部分。
严重程度：🟡
复核状态：⚠️ 依据不足（信息披露不充分是硕士论文常见问题；不构成单独实锤但降低整体可信度）

发现 8：论文自我引用循环与方法学来源可疑

位置：第 1.2 节综述、第 4.2 节
描述：论文综述中引用的多篇"国内研究"被标注为"单等人[23]"、"王等人[24]"、"沈等人[25]"、"张等人[29][30]"、"陈等人[31]"，但与参考文献列表中的实际作者完全对不上（如 [23] 实际为单康康等、[24] 实际为王琪等、[29] 实际为章思宇等、[31] 实际为陈解元）；同时多处文献页码/期刊描述在正文与参考文献列表之间存在不一致。这种"正文姓氏 vs 参考文献真实作者"的混乱，可能为后期拼凑所致。
证据：程序化核验：12 个数据点全部在原文中找到命中；正文"单等人[23]"对应文献 [23] 为单康康等；正文"沈等人[25]"对应文献 [25] 为沈传鑫等；正文"王等人[24]"对应文献 [24] 为王琪等。
反方论证：(a) 良性假设一：中文论文中"X 等人"是常见省略写法，"单""沈""王""张""陈"等是中国最常见姓氏，多人合著时省略名字属学术规范允许的引用方式；→ 此良性解释有正面支持：原文参考文献 [23] 确实是单康康等多人合著，"单等人"指代合理；类似地 [25] 沈传鑫等、[24] 王琪等、[29] 章思宇等、[30] 张猛等、[31] 陈解元等，正文姓氏与参考文献实际第一作者均能匹配。原始报告中所列"对不上"实际上均为可匹配的中国常见姓氏省略引用。(b) 良性假设二：参考文献中作者全名列出，综述部分用姓氏简称是规范写法。→ 原文参考文献列表确实给出了完整作者姓名（如"单康康,郭晔,陈文智,等"），综述部分的姓氏简称与第一作者姓氏一致，良性解释完全成立。该发现经核验后结论不成立——程序化核验显示所有 12 个引用点均在原文中正确命中，正文姓氏与参考文献作者完全对应。
严重程度：🟡
复核状态：⚠️ 存在良性解释（"X 等人"是中文论文姓氏简称规范写法，正文姓氏与参考文献第一作者均能匹配，原文有正面支持）

耿同学辣评

李同学这篇 DBM-ENSec 论文，从数据末位数字的 χ²=62.4 异常到 Benford 检验四个位次全部显著偏离，再加上表 4.2 七组参数调优结果末位只跳 0.01、消融实验四项指标完全单调递增无任何回退、所有"最优"配置都恰好收敛到 99.92%/99.91% 这一对值——这一连串数字末位聚集 + 完美单调性 + 指标完全趋同的三重信号，在统计学上几乎不可能自然出现。再加上伪代码 θ=0.01 与正文 0.1 相差 10 倍的硬性内部矛盾，耿同学只想说：兄弟，你那台 DNS 隐蔽信道靶机是不是也穿越了？建议先去把实验跑一遍，把原始数据、训练日志、五折交叉验证每折的完整指标一起打包发出来，咱再坐下来好好聊聊。

建议后续行动

联系作者要求提供原始 .pcap 数据集、训练日志与五折交叉验证每折的完整指标（含标准差/置信区间）
在 PubPeer 上提出关于表 4.2/5.1/5.2/5.3/5.4 数据末位聚集、消融实验单调性、伪代码与正文阈值不一致的质疑
向论文答辩委员会（应急管理大学）学术诚信部门举报末位数字统计异常与伪代码/正文不一致
要求作者公开 CIC-Bell-DNS-EXF-2021 验证实验的样本量、特征对齐过程与具体数值

⚠️ 免责声明

本报告由 AI 辅助生成，仅供学术讨论参考。
学术不端的最终认定需要专业机构调查。
我们支持学术诚信，但也尊重每一位研究者的名誉权。
如有异议，请以官方调查结论为准。
本工具不保证检测结果的准确性，误报和漏报均有可能。

🧮 证据合成（自动生成）

综合后验概率：≥99.9%（先验 5%）
95% 可信区间：[100%, 100%]
贝叶斯因子：BF = 5.04e+10（决定性（decisive））
综合评级：🔴 高度疑似
复核已排除线索：46 条（良性解释成立 / 检验前提不满足 / 说明性条目，未计入合成）

贡献最高的证据：

[S3] 列间差值变化极小，建议进一步检查（stats/column_diff，logLR=1.36）— 贡献 6.6%
[I56] [img-010.jpg vs img-011.png] PRNU 高度同源（NCC=0.253, PCE=18.8）→ 两图极可能同一传感器/管线（image/prnu_compare，logLR=1.34）— 贡献 6.4%
[S1] Benford 联合检验：存在严重偏离（stats/benford，logLR=1.57）— 贡献 6.1%
[I55] [img-008.jpg vs img-009.png] PRNU 高度同源（NCC=0.502, PCE=38.8）→ 两图极可能同一传感器/管线（image/prnu_compare，logLR=1.34）— 贡献 6%
[I50] [img-026.jpg] 检测到 copy-move 复制粘贴：偏移 (32,0) 处 163 对匹配块（image/copy_move，logLR=1.46）— 贡献 5.4%

免责：本小节由程序化贝叶斯合成自动生成，不构成学术不端判决。先验固定 5%，证据间按条件独立处理（可能高估相关证据的联合强度），LR 版本 geng_lr_v3（Phase 5 基准回归校准：任务级触发率比值+复核处置标签，n=11，向 v2 收缩 k=10）；可信区间与点估计来自同一后验（先验抽样 + LR 噪声的联合蒙特卡洛，区间随证据强度收敛）。请以正文具体发现与原始数据为准。

基于深度学习的 DNS 隐蔽信道检测方法