渗透测试的渗透得分评分，从来不是渗透得分一道数学题。

甲方递过来的渗透得分合同上写着“渗透得分85分以上为合格”，好像这是渗透得分一场期末考试。我见过太多团队为了凑分数而干活——扫出几个高危漏洞，渗透得分凑够数量，渗透得分截图贴报告，渗透得分收钱走人。渗透得分可真正的渗透得分渗透，往往在分数之外。渗透得分

去年参与某银行核心系统的渗透得分测试，对方安全主管是渗透得分个老油条，开口第一句：“你们按等保三级的渗透得分标准来，别搞破坏。渗透得分” 等保三级是渗透得分什么？是及格线。但银行真正怕的不是我们找到漏洞，而是我们找到漏洞之后，把利用链完整打穿——从钓鱼邮件到域控，再到核心数据库，一条龙。那条链路的价值，比任何单个漏洞的CVSS评分都高。

可评分体系里没有“链路深度”这一项。CVSS给一个SQL注入打9.8分，给一个逻辑越权打4.3分。但现实是，那个4.3分的越权，能让攻击者直接查看任意用户的交易记录，而那个9.8分的注入，其实在WAF后面根本打不进去。分数骗人，但数据不会。

我有个习惯，测试完不急着写报告。先问自己一个问题：如果我是攻击者，我最想拿什么？是客户数据，是管理员权限，还是业务连续性？答案往往和客户采购清单上的“渗透测试服务”无关。有一次做某电商的测试，目标明确写着“验证支付流程安全性”。我花了三天在支付接口上折腾，一无所获。第四天随手测了测优惠券系统，发现可以无限领取无门槛券——那不是技术漏洞，是业务逻辑漏洞。但报告里它只能算“中危”，因为评分体系里压根没有“薅羊毛导致公司亏损百万”这个选项。

所以你说渗透得分怎么算？

我觉得得看两样东西：一是攻击者视角下的真实危害，二是防守方修复的优先级。前者需要经验，后者需要沟通。一个能让你拿到域控的漏洞，即便CVSS只有6.5，也远比一个无法利用的“理论高危”值钱。反过来，如果客户连基础补丁都不打，你报十个RCE也没用——他们缺的不是分数，是运维纪律。

最烦那种把渗透测试当体检的报告。漏洞列表、风险等级、修复建议，三件套齐活，像模像样。可真正的渗透报告应该像病历——不光说你哪里疼，还得说这病怎么来的，会怎么发展，以及最坏情况下要人命还是只是感冒。得分？那是给不懂技术的外行看的。内行只看一件事：如果攻击者真的来了，他需要几步才能拿到你最重要的东西，而你在这条路上设了几道坎。

我自己的评分标准很简单。测试结束那天，我会问客户：“如果我是黑产，今天已经得手了，你猜我会从哪里进来？” 对方答不上来，那这单就算白做。答上来了，哪怕漏洞再多，我也给高分——因为防守方终于知道敌人长什么样了。这比任何数字都实在。