渗透测试这行，渗透缺人缺人。渗透缺人缺到什么程度？渗透缺人上周跟一个做安全服务的朋友吃饭，他说公司挂了三个月的渗透缺人招聘，面了不到十个人，渗透缺人最后勉强招了一个应届生。渗透缺人“能写报告就行，渗透缺人技术慢慢带。渗透缺人”他说这话的渗透缺人时候，筷子夹着花生米，渗透缺人语气里全是渗透缺人无奈。

我入行快八年，渗透缺人见过这行从冷门到热门，渗透缺人再到现在这种“热得发烫却没人上手”的渗透缺人怪状。招聘网站上渗透测试岗位的渗透缺人薪资标得一个比一个高，15K到30K是常态，有些急招的甚至开到40K。简历呢？一天能收几十份，筛完能约面试的，一只手数得过来。

问题出在门槛上。这行不像开发，学个框架就能干活。渗透测试要的是实打实的知识面：网络协议、操作系统、Web漏洞、逆向、代码审计，哪一块都得懂点。更麻烦的是，这些知识大部分得靠自学，学校教的那点东西，连靶场都打不明白。我见过太多简历写着“熟悉OWASP Top 10”，一问SQL注入怎么绕WAF，支支吾吾说不出个所以然。

还有个现实问题：真正能干活的人，早被大厂和乙方安全公司瓜分了。剩下的要么是刚培训出来的新手，要么是干了两三年转行的。培训出来的新手有个通病——只会用工具。Nmap、Burp、SQLMap跑得飞起，一遇到没见过的场景就懵了。上次帮朋友面一个培训生，我问他：“给你一个登录框，没有验证码，你怎么测？”他答：“上Burp爆破。”我又问：“如果对方有频率限制呢？”他想了半天，说：“换IP？”我接着问：“如果换IP也被封呢？”他不说话了。

这行还有个隐形门槛：报告能力。渗透测试不是攻进去就完事，你得把漏洞描述清楚，把复现步骤写明白，把修复建议给到位。很多技术不错的人，卡在写报告上。客户看不懂术语，领导要的是风险等级和整改方案，你写一堆payload和截图，没人买账。我见过一个哥们，技术是真的强，挖过几个CVE，但每次报告都被退回重写。后来他干脆转去做漏洞研究了，理由很直接：“我宁愿跟代码打交道，也不想跟文档较劲。”

企业这边也矛盾。招人吧，怕招到只会吹牛的；不招吧，等保要过，渗透测试报告得交。有些公司干脆把项目外包，结果乙方派来的“渗透工程师”就是跑个扫描器，导出一份报告改改就交差。这种活儿干多了，甲方也精了，现在招人直接要求“能独立完成渗透测试项目”，意思就是：别拿扫描器糊弄我。

说到底，这行缺的不是人，是能扛事的人。能扛事的人得具备什么？技术底子扎实，遇到问题能自己查资料解决；沟通能力在线，能跟开发解释清楚漏洞原理；心态还得稳，被客户质疑的时候不慌。这三样凑齐了，薪资根本不是问题。问题是，凑齐的人太少了。

我认识一个师傅，干了十几年渗透，现在自己接项目。他跟我说：“这行不是缺人，是缺愿意沉下心学的人。太多人想赚快钱，学两个月就想拿高薪，哪有这种好事。”他带徒弟，第一条规矩就是：前三个月不准用自动化工具，全部手工测。能熬过来的，基本都留下来了；熬不过来的，转行卖保险去了。

所以你要问我渗透缺人吗？缺。但缺的是那种半夜还在看漏洞公告、周末泡在靶场、被客户骂完还能笑着改报告的人。这种人，永远缺。