**1. 干什么** 任何命令、工具与攻击动作，拆开均为用户态程序加 C 库或系统 API 加一次短暂内核访问，四环节结构一致，本册交付的是拆解链路而非命令清单。 **2. 谁在调** * 用户态主体：命令程序与工具。 * 系统层封装：glibc、CRT/kernel32、libSystem。 * 内核态主体：对应系统调用处理函数与驱动。 **3. 做什么业务** 第一环节为用户态命令本身，在低权限模式拼参数、格式化输出，不直接接触硬盘与网卡。第二环节为 C 库或系统 API，把读文件、建连接等意图翻译为内核可识别的调用号与参数。第三环节为系统调用门，CPU 在此切换高权限模式。第四环节为内核，核对凭证、定位对象、指挥驱动并返回结果。nmap、fscan、Metasploit、PowerShell、反弹 shell 均为四环节的组合，同构仅限系统调用层，寄存器、调度算法与驱动内部实现不通用。 **4. 组件清单** * 用户态命令程序 * C 库 / 系统 API 封装 * 系统调用门 * 内核处理函数与驱动 **5. 最小可运行** ``` /