Lý thuyết chi tiết về Windows API, Hungarian Notation, Handles (index vào bảng riêng từng process), SAL annotation trong prototype, workflow File/Registry API, quá trình Windows loader khởi tạo process, DLL, và Winsock/WinInet.

Lý thuyết chi tiết về tập thanh ghi mở rộng x86-64, calling convention __fastcall (chỉ 4 tham số qua thanh ghi), home space, vì sao RBP được giải phóng thành thanh ghi tự do, multi-byte NOP, và MOVSX/MOVSXD/MOVZX.

Lý thuyết chi tiết về pointer, MUL/IMUL, mảng, vòng lặp, các lệnh string (MOVS/STOS/SCAS + REP prefix), intrinsic function, struct trong IDA, và cơ chế switch/jump table.

Lý thuyết chi tiết về 3 kỹ thuật debug cơ bản - chỉnh register/IP tạm thời, patch file vĩnh viễn, jump patching và NOP'ing - rủi ro và khi nào nên dùng từng cái.

Tổng hợp chi tiết các Windows Security Event ID và Sysmon Event ID quan trọng nhất với SOC analyst - event đó log gì, vì sao đáng chú ý, và ví dụ pattern tấn công liên quan. Dùng làm tài liệu tra cứu lâu dài.

Lý thuyết về CMP/TEST, bảng đầy đủ các lệnh nhảy có điều kiện, mẹo đọc rẽ nhánh nhanh, cách if-statement được compile, và các kỹ thuật static analysis với IDA.

Lý thuyết về stack frame (prologue/epilogue chính xác), cách truy cập tham số/biến cục bộ qua EBP, và sự khác nhau chi tiết giữa calling convention STDCALL và CDECL.

Lý thuyết về JMP, Cross References trong IDA, cơ chế chính xác của CALL/RET, vòng đời một function call, và cách string ASCII/Unicode xuất hiện trong binary.