**1. 干什么** 三系统按深一家、通一家、认一家的顺序推进，先在 Linux 练熟链路，再认 Windows 对象语言，最后识别 macOS 围栏，不平均用力。 **2. 谁在调** * 用户态主体：学习者与练习命令。 * 系统层封装：strace、对象查询 API、ps 与 security 等。 * 内核态主体：各系统调用门、对象与围栏裁决。 **3. 做什么业务** 第一深为 Linux，POSIX 接口最直接，/proc 直接展示内核记录，用 strace 追任意命令并说出经过哪些系统调用为验收标准。第二通为 Windows，是内网攻防主战场，不必写内核驱动，但须认得令牌、注册表、服务、WMI 的对象语言，看到建进程、改服务、连 SMB 能说出落在哪个内核对象、依附于哪个令牌。第三认为 macOS，与 Linux 同源、终端命令近似，但须认得 SIP、TCC、Gatekeeper 三道围栏与 Mach 端口语言，做到区分两套词汇。 **4. 组件清单** * Linux：strace 与 /proc * Windows：令牌・注册表・服务・WMI