漏洞扫描服务收费

去年秋天，漏洞一家做跨境电商的扫描收费朋友找我，说他们被一家安全公司报了价：漏洞扫描，服务一年12万。漏洞我问他扫几个IP，扫描收费他说三个。服务我当时差点把水喷出来——三个IP，漏洞12万，扫描收费平均一个IP四万块。服务这价格够买一辆二手五菱宏光了。漏洞

漏洞扫描这个事，扫描收费水比大多数人想的服务深得多。市面上从免费到几十万的漏洞服务都有，但价格差在哪，扫描收费很少有人能说明白。服务我见过太多企业在这上面花冤枉钱，要么被忽悠买了远超实际需求的套餐，要么贪便宜用了免费工具，结果扫出来的报告跟废纸差不多。

先搞清楚你买的是什么

漏洞扫描服务大概分三种。第一种是纯工具扫描，服务商给你跑一遍Nessus或者OpenVAS，导出一份报告发过来，完事。这种成本极低，一个中级工程师半天就能搞定，报价通常在一千到五千之间，按IP数量算。第二种是工具扫描加人工验证，工程师会把你系统里真实存在的漏洞挑出来，去掉误报，按危害等级排序，再给一些修复建议。这种价格大概在五千到三万不等，取决于IP数量和系统复杂度。第三种是渗透测试级别的深度评估，本质上已经超出“扫描”的范畴了，工程师会手动去尝试利用漏洞，价格从几万到几十万都有。

很多甲方分不清这三者的区别。销售跟你说“漏洞扫描”，交付的可能是第一种，收的却是第二种的钱。我见过一家做医疗SaaS的公司，花了八万买了一次“扫描服务”，拿到报告一看，全是工具原始输出，连误报都没去。去找服务商理论，对方说合同里写的就是“自动化扫描”，没毛病。

定价的猫腻在哪里

IP数量是最常见的计价基础，但这里面有个陷阱。有的服务商按C段收费，一个C段256个IP打包价两万；有的按实际存活IP收费，你C段里只有20台机器在线，就只收20个IP的钱。前者听起来划算，但如果你只有几台机器，那就是纯亏。

系统类型也影响价格。纯静态网站和带复杂业务逻辑的Web应用，扫描难度完全不是一个量级。后者需要工程师理解业务流，手工构造请求，耗时会翻好几倍。有些服务商不区分这些，统一报价，那要么是偷懒，要么是准备糊弄你。

还有一个容易被忽略的成本：复扫。漏洞修完要不要再扫一遍确认？很多合同里只包含一次扫描，复扫要另外加钱，加多少全看销售心情。我建议谈合同的时候直接把复扫次数写进去，至少两次，不然修完漏洞你都不知道修没修干净。

免费的和便宜的能不能用

能，但分场景。如果你只是想知道自己网站上有没有明显的SQL注入或者 outdated 的组件版本，用一些开源工具自己跑跑完全够用。但如果你面对的是等保合规、客户审计或者融资尽调，免费工具出的报告没人认。那些报告没有服务商盖章，没有工程师签字，在合规场景下等于白纸。

便宜的也不是不能买。有些小团队出来的工程师，技术不差，报价实在，三五千块能给你认认真真扫一遍、验一遍、写清楚修复步骤。问题是这种人不好找，而且他们没有品牌背书，采购流程上可能过不去。大厂报价高，一部分是在为品牌和合规背书买单，这个溢价你得认。

我自己的判断标准

如果系统不多、不复杂，找个靠谱的个人工程师，几千块搞定，性价比最高。如果涉及合规要求，老老实实找有资质的服务商，但别买最贵的套餐，中档的通常就够。如果销售一上来就推十几万的“全方位安全评估”，先让他把扫描、验证、复扫、报告解读这几项拆开报价，拆完你大概就知道水分在哪了。

最后说一句，漏洞扫描只是安全工作的起点，不是终点。扫出一堆漏洞不修，跟没扫一样。花钱之前先想清楚，你买这份报告到底要干嘛用。