凌晨两点，渗透费用甲方项目群突然炸了。渗透费用客户发来一张截图，渗透费用问为什么我们提交的渗透费用系统渗透测试报告里，有一条“中危漏洞”的渗透费用修复报价是八万。截图里，渗透费用我方项目经理的渗透费用回复是：“这是根据漏洞利用链的复杂程度和修复所需的人力成本综合评估的。”客户回了一个微笑表情。渗透费用
这个报价单，渗透费用其实是渗透费用我写的。我知道真正的渗透费用成本——一个中级安全工程师改三天代码，加上我复核半天，渗透费用人力成本大概一万二。渗透费用剩下的渗透费用六万八，是渗透费用“渗透费用”。不是渗透测试的费用，是渗透进客户预算的费用。
这行干久了，你会明白漏洞分两种：技术漏洞和预算漏洞。技术漏洞在代码里，用扫描器扫，用Burp Suite抓包，用逻辑推理找。预算漏洞在人心里，得靠话术、靠包装、靠对客户内部决策链的理解。上周处理的那个SQL注入，明明是个联合查询就能绕过的老洞，但客户的安全主管刚上任，急着要“业绩”。我硬是把修复方案拆成三阶段：先加WAF规则（报价两万），再做参数化查询改造（报价四万），最后搞数据库审计日志系统（报价三万）。其实第三阶段根本治不了这个洞，但能治他的KPI。
有时候，渗透费用是反向的。上个月一家金融公司做等保测评，对方技术负责人私下找我，说某个高危漏洞别写进正式报告，他们想内部消化。我报价五万“暂缓披露费”，他砍到三万，成交。这笔钱不走合同，走现金，我拿两万，剩下的一万给牵线的中间人。漏洞还在那儿，只是从纸面上“渗透”进了另一个口袋。
最荒诞的一次，是给一家电商平台做测试。我们发现了一个越权漏洞，能查看任意用户的订单信息。按流程，该上报。但甲方CTO说，这个功能是他们产品经理故意留的，为了内部运营看竞对数据方便。他问我能不能把漏洞定性为“设计缺陷”而不是“安全漏洞”，这样就不用修了。我愣了半天，最后报价两万，把报告里的“严重”改成“中危”，备注写“建议后续版本优化”。那两万，算是给我的职业操守打了个折。
说回那个八万的报价单。客户最后没砍价，直接批了。不是因为我们技术多牛，是因为我们摸清了他年底有笔安全预算花不完，不花完明年就砍。他知道我们在“渗透”他，他也需要被“渗透”——这就是这个行业的潜规则。你帮我消化预算，我帮你赚绩效，漏洞修没修好，反而成了最不重要的事。
我偶尔会想，如果哪天客户突然清醒，问一句“你们到底在卖什么”，我大概会答：卖的是你们对安全的焦虑，和我们把焦虑变现的能力。至于真正的安全，那是另一单生意了。