一个做安全测试的朋友上周接了个私活。客户是多少本地一家连锁餐饮品牌，想测一下他们刚上线的渗透会员小程序有没有漏洞。报价从八千砍到五千，多少最后四千五成交。渗透他干了两天，多少交了一份报告，渗透里面列了三个中危漏洞和一个信息泄露点。多少客户很满意，渗透说“比之前问的多少那家便宜一半”。

这就是渗透渗透测试市场的日常。价格乱得跟菜市场似的多少，同一个系统，渗透有人报三万，多少有人报三千，渗透还有人敢报三百。你问区别在哪？区别在于报价的人到底知不知道自己在干什么。

先把这个词拆开。渗透测试，英文叫Penetration Testing，说白了就是雇人模拟黑客攻击，看看你的系统能不能被捅穿。它跟漏洞扫描不一样，扫描是拿工具跑一遍，渗透是人拿着工具加脑子，一步步找突破口。所以价格差首先就差在“人”上。

我见过最便宜的渗透测试报价是两百块。一个刚学了两周Kali Linux的大学生，用AWVS扫了一遍客户的官网，导出一份PDF，改个logo就交差了。客户拿到报告一看，满篇英文，漏洞描述全是“可能”“建议进一步排查”，连个复现步骤都没有。这种报告除了浪费纸，没有任何用处。

正经的渗透测试，价格通常分几个档。最基础的是“单次外部测试”，针对一个Web应用或一个小程序，测试周期两到三天，报价在五千到一万五之间。这个价位对应的是有两年以上经验的工程师，能手工验证漏洞，能写清楚复现路径，能给出修复建议。再往上走，如果是内网渗透，要模拟从外网打点、横向移动、拿下域控的完整链条，周期拉到两周以上，报价三万起步。如果是红队评估，要跟蓝队对抗，要绕过EDR、要钓鱼、要物理入侵，那价格就没边了，十万到几十万都正常。

但这里有个坑。很多甲方分不清“渗透测试”和“合规扫描”。等保测评里也有渗透测试项，但那个渗透往往只是走个过场。测评机构的人来了，跑一遍扫描器，挑两个不痛不痒的漏洞写进报告，收费可能只要几千块。因为他们的目的是“过审”，不是“真打”。你要是拿这种报告去跟老板说“我们的系统很安全”，那就跟拿体检报告当免死金牌一样可笑。

人力成本是大头。一个能独立干活的渗透工程师，月薪至少两万起。按一天八小时算，日薪接近一千。一个项目从信息收集到报告交付，再怎么压缩也要三天。光人力成本就三千了，加上工具授权、公司运营、销售提成，报价低于八千基本是在赔本赚吆喝。那些报三五百的，要么是拿你练手，要么是直接卖扫描器报告。

还有一种情况是“按漏洞收费”。听起来很合理，一个高危漏洞五千，中危两千。但实际操作起来全是扯皮。什么叫高危？SQL注入算高危，但如果是需要登录后才能触发的SQL注入，危害就降级了。甲方觉得你在小题大做，乙方觉得甲方不懂技术。最后往往变成乙方故意留几个明显漏洞凑数，真正危险的逻辑漏洞反而没人提。

我自己的判断是：低于八千的渗透测试，基本不用看报告质量。不是说一定没好东西，而是概率太低。你花四千五，买到的是一个刚入行的人拿你系统练手，外加一份模板化的报告。真正值钱的不是那几个漏洞，是测试者脑子里那条攻击路径——他知道先打哪、再打哪、怎么绕过防护、怎么扩大战果。这条路径没法用扫描器自动生成，只能靠人一步步踩出来。

所以下次有人给你报三千块做渗透，你先问他三个问题：测试周期几天？报告里有没有手动验证的漏洞？能不能提供修复后的复测？三个问题答不上来两个，这钱大概率是白花。省下的几千块，不够你事后应急响应一次。

最后说个真事。某电商公司为了省钱，找了个报价六千的团队做渗透。报告交上来，漏洞列表挺长，但全是低危。老板挺高兴，觉得系统很安全。三个月后被人拖库，损失七位数。事后复盘发现，那个团队根本没测业务逻辑漏洞——他们只跑了扫描器，连登录都没登录进去看。六千块买了个心安，代价是七位数。这笔账，怎么算都亏。