上周有个做电商的做漏朋友给我打电话，语气挺急的扫中少费。他们公司刚被某大厂的危高危多安全团队发了漏洞报告，一个SQL注入，做漏高危，扫中少费要求限期修复。危高危多他问我，做漏找外面的扫中少费漏扫公司做一次全站扫描，中危和高危的危高危多漏洞，到底要花多少钱？做漏

这问题其实没有标准答案，但有个大概的扫中少费区间。纯自动化漏扫工具，危高危多比如用 Nessus、做漏AWVS 这种，扫中少费如果只是危高危多买 license 自己扫，成本可能就是几千块一年。但你要找第三方安全公司帮你扫、出报告、做人工验证，那价格就上去了。一般按资产数量算，一个域名或者一个IP，中危加高危的“打包价”，市场行情大概在几百到一千多块不等。假设你有十个核心业务系统，一次像样的渗透测试加漏扫，报价三到五万很正常。

但这里头有个坑，很多人没意识到。漏扫报告里列出的中危、高危，那只是“嫌疑犯名单”，不是“定罪书”。工具扫出来的东西，误报率有时候能到百分之三十甚至更高。比如一个常见的“点击劫持”中危，其实就是少了几个响应头，修复成本极低。真正花钱的地方，是人工去复核这些漏洞，确认哪些能利用，哪些是误报，哪些漏洞组合起来能提权。这活儿，工具干不了，得靠人肉。人肉就贵了。

我见过一个案例，某金融科技公司，买了个便宜的漏扫套餐，两万块，扫出来四十多个高危。结果安全工程师一看，其中二十三个都是同一个框架的旧版本导致的，打一个补丁全消了。剩下十几个，有八个是登录接口的暴力破解风险，属于“设计如此”，需要加验证码和锁定策略，改动也不大。真正要命的，其实就两个，一个是越权访问，一个是敏感信息泄露。这俩单独拎出来做代码审计，可能又得加钱。

所以别光盯着“中危多少钱、高危多少钱”这种单价。行业里更常见的报价逻辑是按“人天”算。一个中级渗透测试工程师，一天的市场价大概在两千到四千。一个典型的电商系统，从信息收集、漏扫、人工验证到出报告，大概需要五到八个工作日。这么一算，一个项目两万到四万是常态。如果你要求加急，比如三天出结果，那单价可能翻倍，因为人家得推掉别的活儿。

还有一个隐藏成本，修复后的复测费。很多公司以为扫完、修完就结束了。错了。漏洞修没修好，得让第三方再验一次，这叫复测。有些服务商把第一次复测免费，后面再复测就按次收费，一次两三千。你想想，如果第一次修得不彻底，来回折腾两三次，这费用就悄悄上去了。

给你个实在的建议。别一上来就问“中危高危多少钱”，你先把自己有多少个对外IP、多少个Web应用、多少个API接口理清楚。然后把报告模板要过来，看看人家是不是只给个“高危、中危”列表就完事。靠谱的团队，会给你每个漏洞的利用路径、影响范围、修复建议，甚至帮你写WAF拦截规则作为临时缓解。这种报告，贵一点也值。

最后说个扎心的事实。漏扫这东西，不是一次性买卖。你的业务每个月都在更新，新功能、新接口，都是新风险面。这次扫完清零了，下个月可能又冒出来几个。所以很多公司干脆买年度的服务，比如一年四次季度扫描加两次渗透测试，价格大概在十万到二十万之间。算下来，比单次买要划算，而且心里踏实。

做个漏扫，花多少钱不是核心问题。核心是你想用这个结果干什么。如果只是为了应付等保检查，那找个最便宜的，能出报告就行。但如果你想真把风险摁住，那就得准备好为“人工判断”付费。毕竟，算法能告诉你哪里可能漏，但只有人脑能告诉你，这个漏到底值不值得你连夜加班修。