渗透测试报告里写“渗透深度：成功获取域控权限”，产品客户看完往往没感觉。透水换成“从外网边界到核心数据库，平和一共穿了七层网络隔离，渗透深度最终拿到财务系统的产品读写权限”，对方立刻明白这事有多严重。透水渗透水平和渗透深度，平和说白了就是渗透深度两个维度：一个衡量“能打多狠”，一个衡量“能走多远”。产品

先说渗透水平。透水它不看你用了多少工具，平和看的渗透深度是攻击链的完整度。我见过一个案例，产品测试人员用钓鱼邮件拿到一个普通员工的透水Shell，然后靠弱口令横向到文件服务器，平和再通过未打补丁的WebLogic反序列化拿下OA系统。整个过程没有零日漏洞，全是配置疏忽和补丁滞后。这种水平算中等偏上——能串联多个低危漏洞形成攻击路径，比单点突破强得多。真正高水平的渗透，往往体现在权限维持和痕迹清理上。比如用Golden Ticket维持域内访问，同时把日志里的4624事件ID篡改掉，让蓝队事后溯源时找不到入口。这种操作考验的是对Windows认证协议和日志机制的理解深度，不是会跑几个脚本就能做到的。

渗透深度则更直观。从DMZ区到内网办公区算一层，从办公区到生产服务器区算第二层，再到核心数据库或工控网络就是第三层。每穿一层，攻击者面临的访问控制策略、网络分段规则、日志审计密度都不同。去年有个制造业客户，外网Web应用存在SQL注入，测试人员通过注入点读到数据库里的VPN账号密码，用这个账号拨入内网，再通过RDP跳板机连到MES系统。从注入点到MES，中间隔了防火墙策略、VPN认证、RDP网关三道关卡。这种深度意味着一旦真实攻击发生，攻击者能直接篡改生产参数，后果不是数据泄露那么简单。

怎么量化这两个指标？我习惯用“攻击路径图”来呈现。横轴是网络区域，纵轴是权限等级。每条路径用不同颜色标注：红色代表已完全控制，橙色代表可读取敏感数据，黄色代表仅能探测。水平体现在同一区域内能提权到多高，深度体现在跨区域跳跃的次数。客户拿到这张图，一眼就能看出哪个区域是“纸糊的墙”，哪个区域是“铁桶”。

有个反直觉的观察：渗透水平高不等于渗透深度深。有些测试人员擅长单点突破，比如用一个0day直接拿到系统权限，但后续横向移动时因为不熟悉内网拓扑，卡在第二层就停了。反过来，有些老手用社会工程学拿到一个低权限账号，靠翻找共享文件夹里的配置文件，一步步摸到核心系统。后者渗透水平看似不高，但深度足够，实际威胁更大。

提升渗透深度有个笨办法：画网络拓扑图。每拿到一台新机器，先看路由表和ARP缓存，再查DNS服务器和域控列表。别急着扫端口，先搞清楚“我在哪，我能去哪”。我见过一个测试人员，拿到Web服务器后花了二十分钟翻/var/log和~/.bash_history，从历史命令里发现运维人员用sshpass连过数据库服务器，密码就写在命令里。这种信息收集的耐心，比堆砌漏洞利用工具管用得多。

最后说个判断标准：如果渗透报告里只写了“发现高危漏洞”，没写“从哪到哪、经过几跳、最终控制了什么”，那这份报告的价值至少打五折。渗透水平和渗透深度不是给领导看的KPI，是给运维团队画的作战地图。地图越细，修复优先级越清楚。哪个网段该加ACL，哪台服务器该打补丁，哪个账号该改密码，一目了然。