**1. 干什么** 所有 Windows 命令均为用户态小进程经 Win32 API 访问内核对象，无任何命令自带内核权限，差异只在所持令牌与访问的对象。 **2. 谁在调** * 用户态主体：whoami、tasklist、ipconfig、netstat、reg 等小进程。 * 系统层封装：OpenProcessToken/GetTokenInformation、CreateToolhelp32Snapshot、GetAdaptersAddresses、IP Helper、Reg 系列。 * 内核态主体：令牌、EPROCESS 链表、tcpip.sys、AFD、配置管理器。 **3. 做什么业务** whoami 调 OpenProcessToken 取自身令牌，GetTokenInformation 把用户与组翻译为 SID。tasklist 经 CreateToolhelp32Snapshot 取得进程快照。ipconfig 调 GetAdaptersAddresses 向 tcpip.sys 取网卡地址表。netstat 向 AFD 取连接表。reg qu