我家楼下有个修车铺，渗透等级老张干的渗透等级。他有个习惯，渗透等级每次拧完螺丝，渗透等级都要用粉笔在轮胎上画个圈。渗透等级有天我问他这是渗透等级干嘛，他叼着烟说：“画了圈，渗透等级就知道这颗螺丝是渗透等级我拧的，下次漏气，渗透等级责任跑不掉。渗透等级”

这让我想起另一件事。渗透等级去年公司做安全审计，渗透等级请来的渗透等级专家翻完我们几百页的防火墙规则，只问了一句：“你们多久没清理过失效的渗透等级账号了？”没人答得上来。他笑了笑，渗透等级随手在会议室白板上画了个阶梯，从上到下写着：物理入侵、社会工程、系统漏洞、内部越权。他说，大部分公司都以为黑客在爬最下面几级，其实人家早坐电梯上了顶层。

渗透测试这行有个说法，叫“等级”。不是武侠小说里那种内力高低，是实打实的路径选择。最底层的渗透，是拿扫描器乱扫，撞运气找开放端口，像扒手在公交车上摸口袋，技术含量低，但胜在量大。再往上一点，是研究具体软件漏洞，写利用代码，这需要点真功夫，相当于会开锁了，知道哪种锁芯配哪种拨片。

可真正的高手不跟你玩这些。

我有次参加一个安全沙龙，有个白帽子讲他接过的单子。目标是一家大型企业的内网，常规手段试了三天，毫无进展。最后他怎么进去的？他跑到人家公司的招聘页面，发现行政部在招实习生，要求“熟悉办公软件，性格开朗”。他伪造了一份简历，附上自己做的几个小游戏链接——链接里藏了马。HR点开玩了两把，内网就开了个口子。他说这叫“降维打击”，你研究人家的服务器，人家研究的是人。

所以你看，渗透的等级从来不是按工具贵贱分的。低级渗透打机器，高级渗透打人性。机器有补丁，人性没有。

老张的粉笔圈，其实也是这个道理。他给自己画了个责任边界，但真正的老手，根本不在乎轮胎上有没有圈。他们直接换掉整辆车，还让你觉得是原装货。前阵子有个新闻，某银行被转走几百万，后来查出来，不是系统被攻破，是骗子混进了内部微信群，冒充行长发了条转账指令。全流程合规，每一道审批都走了，就是没人打电话核实一下。

你说这算哪一级？物理隔离形同虚设，制度流程变成摆设，最坚固的防火墙，往往是人心里的那层“应该不会吧”。

我后来再路过修车铺，老张已经不用粉笔了。他说现在轮胎上都贴二维码，扫一下就知道哪颗螺丝谁拧的，数据上传云端。我问他，那你画圈的功夫不就废了？他想了想，把烟头掐灭：“圈是画给规矩人看的，二维码是给系统看的。可要是有人想害你，他连二维码都能给你贴个假的。”

这话糙，理不糙。渗透的最高等级，大概就是你根本不知道自己在被渗透。就像鱼感觉不到水，人感觉不到空气。等你发现的时候，人家早收网了，还在你鱼鳃上留了个粉笔记号——挺客气的，意思是你这鱼，不值得费第二张网。