渗透测试圈子里有个老笑话：甲方问“你们能渗透到哪一层”，渗透分种乙方答“看您给多少钱”。渗透分种玩笑归玩笑，渗透分种但“渗透分几种”这个问题，渗透分种答案确实不是渗透分种黑板上写死的三分类或五分类。按我实际干活的渗透分种经验，更靠谱的渗透分种分法是看攻击者到底在跟什么较劲——是跟机器较劲，还是渗透分种跟人较劲，还是渗透分种跟整个流程较劲。

最传统、渗透分种也最常被写进报告里的渗透分种那种，叫**外部渗透**。渗透分种你从公网IP开始扫，渗透分种找漏洞，渗透分种打进去，渗透分种拿权限。听起来很酷，但现实往往是你扫了三天，发现对方防火墙硬得像块铁板，最后靠的是某个实习生上传的未授权访问的备份文件。这种渗透拼的是耐心和技术广度，但说实话，现在纯靠外部打穿一个正经企业的核心系统，难度已经高了不少。云上资产多了，影子IT也多，但防御方也不是吃素的。

另一种叫**内部渗透**，这词儿其实有点误导。它不是指你已经在内网了，而是指你模拟一个已经突破边界、或者物理上接入内网（比如溜进办公室插了个树莓派）的攻击者。这时候打的就不是边界了，是内网横向移动那套：抓hash、找域管、看谁开了SMB共享还设了弱口令。我见过一次内网渗透，攻击者根本没碰什么0day，就靠着一个运维脚本里硬编码的数据库密码，直接一路滑到核心业务库。那种感觉，像你发现家里门锁是好的，但钥匙就放在门口脚垫底下。

再往下分，就得提到**物理渗透**了。这活儿不太“黑客”，更像特工。尾随员工进门，假装快递员，或者干脆翻垃圾桶找写着密码的便利贴——别笑，我亲眼见过某公司机房门口的白板上贴着WiFi密码和root密码。物理渗透测试最容易被甲方忽略，但往往是最快的一条路。你代码写得再安全，挡不住人家前台心一软，把访客带进了会议室，而会议室墙角那个网口，恰恰没做端口认证。

还有一类，现在越来越火，叫**社工渗透**。这不是发钓鱼邮件那么简单的。真正的社工渗透会花几周时间研究目标员工的社交习惯，知道他几点发朋友圈，用什么手机型号，甚至模仿他说话的语气去骗IT重置密码。有一次测试，我们假装是“总部新来的安全审计员”，用一套编造的流程和两个假工牌，就让对方运维主动把VPN配置文件的截图发过来了。那种感觉挺复杂的——技术防御做得再好，一个电话就能破功。

最后提一嘴**供应链渗透**，这个最阴。你不打目标本身，打它的供应商、外包商、或者用它的某个开源组件。以前有个案例，攻击者黑进了一家给目标做OA系统二次开发的乙方公司，在更新包里塞了后门。甲方自己的安全团队再强，也拦不住“自家软件”的合法更新。这种渗透测试现在很多大厂都在做，但真正做透的少，因为牵涉面太广，协调成本高得吓人。

分这么多种，其实核心就一句话：**攻击者永远在找最省力的那条路**。外部打不进去就打内部，内部防得严就搞物理，物理有人盯就转社工，社工累了就啃供应链。所以你看，渗透分几种不重要，重要的是你得知道，对手永远比你多一种思路。