一次真实的渗透教训：我接过一个客户，电商平台，测试老板觉得网站“看起来挺安全”，费用找了三家报价。渗透最贵的测试报8万，最便宜的费用报8000。他选了8000的渗透，结果渗透测试报告交上来，测试只有15页，费用全是渗透漏洞扫描器的自动输出，连个验证截图都没有。测试后来他自己找了个朋友手动测，费用三天挖出了SQL注入，渗透直接能拖库。测试

价格差100倍，费用不是服务差100倍，是目的差100倍。8000块买的是“合规交差”，8万块买的是“真找问题”。多数企业分不清这两者，或者分清了但心存侥幸。

渗透测试的费用构成，说白了就三块：人力成本、时间成本、责任风险。一个靠谱的渗透测试员，日薪通常在2000到5000之间，高级的能到8000。一次像样的测试，至少需要5到10个工作日，包含前期信息收集、中期漏洞验证、后期报告编写。光人力就烧掉2到8万。报价低于1万的，要么是刚入行的新手拿你练手，要么是自动化工具跑一遍就完事——那种测试，你自己装个AWVS也能做，何必花钱？

行业里有个怪现象：越大的企业越愿意为渗透测试付高价，反而中小企业觉得“我网站小，黑客看不上”。真不是这样。我认识一个专门搞黑产的朋友（别问，已经进去了），他说最喜欢打小站，因为防护弱，拖个库几分钟的事，拿去卖或者勒索，成本极低。小站被攻击的概率不比大站低，但小站老板普遍觉得“我不值得被黑”——这个认知偏差，比漏洞本身危险得多。

报价还跟测试范围强相关。一个只测登录接口的，报价3000都嫌多；一个要测全部API、小程序端、后台管理系统的，2万起步很正常。有些客户喜欢压价，把范围砍到只剩主站几个页面，然后等出了事又说“你们测得不彻底”。这就像去医院只查血常规，却怪医生没发现你脑子里有肿瘤——范围是你自己定的，责任也得自己扛。

说实话，我见过最离谱的一份报价单，是某乙方给一个政府项目报的：80万，测一个静态展示网站。那种网站连数据库都没有，纯HTML页面，黑客看了都懒得点第二下。但人家懂“行情”，知道预算批下来了，不花白不花。这种报价扰乱市场，让真正做事的乙方报价显得“贵”，劣币驱逐良币。

那到底该花多少钱？我的判断标准很简单：你的业务挂了，损失多少，就按那个损失的十分之一来定预算。比如你电商平台一天流水50万，被拖库停业3天，损失150万，那花15万做渗透测试完全合理。如果你是个个人博客，丢了数据也就心疼一下，那花5000块测一次都算奢侈。

最后提醒一句：拿到报告不是结束，是开始。很多企业花了大价钱测出漏洞，然后因为“修复要改代码，排期到明年”就把报告存档吃灰。那这钱等于白花了——比白花更糟，因为你还以为自己是安全的。真正的安全预算，应该包含修复的人力成本和复测费用，不然就只是买了个心理安慰。

(责任编辑：焦点)