去年冬天，外网网渗我帮一个做跨境电商的渗透朋友看他的服务器日志。凌晨三点，和内IP来自荷兰的外网网渗某个VPS正在对他的后台登录接口做撞库，每秒请求四十多次。渗透他问我：这算外网渗透还是和内内网渗透？我说，这是外网网渗外网，但如果你那台服务器能直接摸到公司内网的渗透数据库，攻击者下一步就会把战场挪进去。和内这两件事，外网网渗从来不是渗透割裂的。

外网渗透，和内说白了就是外网网渗目标系统暴露在公网上的那一层。网站、渗透VPN网关、和内邮件服务器、API接口——任何能通过互联网直接访问的入口。攻击者的第一步通常是信息收集，用Shodan、Censys这类空间测绘引擎扫端口、指纹识别，或者翻GitHub找泄露的密钥。我见过最离谱的一次，某公司运维把内网拓扑图连同IP段一起传到了公开仓库，连密码都写在注释里。外网渗透的核心逻辑是找“门”：弱口令、未修复的CVE、配置错误、逻辑漏洞。门开了，就能进去。

但进去之后呢？你拿到一台DMZ区的Web服务器，权限是www-data，能执行命令但出不了网。这时候内网渗透才真正开始。内网渗透的目标不是“进去”，是“横向移动”和“权限提升”。攻击者会看这台机器上有什么：SSH密钥、数据库连接串、域账户缓存、浏览器保存的密码。Windows域环境里，一个Mimikatz抓到的NTLM哈希就能拿去Pass-the-Hash，从一台普通工作站跳到文件服务器，再跳到域控。Linux内网里，sudo配置不当、SUID提权、cron任务里的可写脚本，都是跳板。

两者的技术栈有重叠，但节奏完全不同。外网渗透像撬锁，动作要快，痕迹要少，因为暴露面大，防守方有WAF、IDS、流量分析。内网渗透像在别人家里翻抽屉，你已经有钥匙了，但要小心别触发告警——EDR、日志审计、蜜罐。我印象很深的一个案例：某红队在外网拿下一台OA系统后，没有直接扫内网，而是先在那台机器上蹲了三天，观察管理员什么时候登录、用什么工具、走哪条路由。第四天才用管理员的会话令牌横向到财务系统。这种耐心，外网阶段很少需要。

防守方的视角也值得说。很多公司把精力全砸在外网防护上——防火墙、WAF、抗DDoS，内网却是一片信任区。一旦边界被突破，内网就是裸奔。零信任架构喊了这么多年，真正落地的没几个。我见过一家企业，外网防护做得滴水不漏，结果内网一台测试机的Redis未授权访问，直接被人写了SSH公钥，然后通过Ansible的配置管理接口拿到了生产环境权限。外网是铁门，内网是纸墙。

说回我那个朋友。我让他做了两件事：把后台登录接口加上速率限制和IP白名单，然后把内网数据库的访问权限从“所有Web服务器可连”改成“仅应用服务器可连”。外网渗透挡的是敲门的人，内网渗透防的是已经进门的人。两件事都得做，但顺序不能反——外网都守不住，谈内网隔离就是自欺欺人。

最后提一句，渗透测试报告里经常把“外网打点”和“内网横向”分成两个章节写，但真实攻击链里，它们是一条线。你从外网进去的那一刻，内网渗透就已经开始了。区别只在于，你是在门口转悠，还是已经摸到了客厅。