**1. 干什么** Windows 网络经 Winsock（ws2\_32.dll，即 BSD socket 模型的用户态移植层）提供 socket、connect、send、recv 接口，请求由 NtDeviceIoControlFile 发至 AFD.sys 辅助驱动，再交 tcpip.sys 协议栈与网卡驱动。 **2. 谁在调** * 用户态主体：联网程序与 ws2\_32.dll。 * 系统层封装：WSAStartup、socket、connect、send、recv。 * 内核态主体：AFD.sys、tcpip.sys 协议栈、网卡驱动。 **3. 做什么业务** 程序先 WSAStartup 初始化，再 socket 建端点、connect 发起连接、send/recv 收发字节。socket 句柄是 AFD 驱动内连接对象的引用，而非独立系统调用号。connect 经 IO 控制码交 AFD，由 tcpip.sys 完成三次握手并交驱动发包。netstat 经 IP Helper API 查询 AFD 连接表。全连接扫描循环对目标 IP 端口发起