渗透测试多少钱一次

上周有个做跨境电商的渗透客户打电话问我，说他的测试独立站被拖库了，用户数据在暗网挂了两千美金。多少他第一句话不是钱次“怎么办”，而是渗透“渗透测试多少钱一次，我现在就测”。测试我报了个价，多少他沉默了三秒，钱次说“这么贵？渗透不就是扫几个漏洞吗”。

这种误解太常见了。测试很多人把渗透测试当成杀毒软件，多少觉得插上U盘跑一圈就能出报告。钱次实际上，渗透一次正经的测试渗透测试，价格从几千到几十万都有，多少差距比二手车市场还离谱。

先给个大概范围。市面上最常见的基础Web应用渗透测试，针对一个中小型网站，报价通常在5000到15000元之间。这个价位对应的是：测试单个域名、不超过20个功能点、人工验证OWASP Top 10漏洞、出一份能看懂的报告。如果对方报价低于3000，要么是纯扫描器自动跑一遍，要么是刚入行的新手拿你练手。我见过最夸张的，某平台标价800块，交付的是一份从网上抄的模板，连目标IP都写错了。

价格往上走，逻辑就变了。内网渗透起步价基本在2万以上。为什么？因为内网测试要模拟攻击者从外网打点进入后，横向移动、提权、找域控、翻核心数据。这个过程短则三天，长则两周。测试人员得熟悉AD域、各种中间件、数据库提权，还得会写免杀马。人力成本摆在那里，一天没个两三千根本请不到靠谱的人。

更贵的是红队评估。这已经超出常规渗透测试的范畴了，目标是检验企业整体防御体系。报价通常5万到30万，甚至更高。红队会用到社工、钓鱼、物理入侵、供应链攻击。我参与过一次针对金融公司的红队项目，光是前期情报收集就花了一周，最后通过一个外包运维人员的VPN账号进了内网。这种项目周期一个月起步，报价自然低不了。

影响价格的还有几个硬指标。测试范围——是测一个登录框还是整个业务系统？系统数量——10个IP和100个IP完全是两个工作量。测试深度——只测Web层还是包含API、移动端、小程序？报告要求——要普通技术报告还是符合等保、PCI DSS合规要求的？每加一项，价格就往上跳一截。

有个现象挺有意思。同样一个漏洞，不同客户对“值多少钱”的判断天差地别。互联网公司觉得一个SQL注入值5000，传统企业觉得整个网站测一遍才值3000。这行没有统一定价，全靠测试方和需求方博弈。

我个人的建议是：别把渗透测试当白菜买。报价低得离谱的，基本是自动化工具跑完就交差。真正的人工测试，测试人员要手工验证每个可疑点，构造payload，分析回显，写复现步骤。一个中等复杂度的系统，认真测下来至少三天。按这个工作量倒推，一天低于2000的报价，质量很难保证。

另外，别只看价格。问清楚测试人员有没有OSCP、CISP-PTE这类认证，要一份过往案例的脱敏报告看看。如果对方支支吾吾，或者报告里全是“可能存在风险”这种模糊描述，换一家。

最后说个真实对比。去年两个客户同时找我，一个预算8000，一个预算3万。8000的那个测完出了12个漏洞，其中3个高危，修复后至今没出事。3万的那个是红队项目，最后打进了核心数据库，客户拿着报告去申请了安全预算，今年整体安全投入翻了一倍。你说哪个更划算？没法比。需求不同，价格自然不同。但有一点是确定的：渗透测试不是消费，是投资。你花的钱，买的是别人已经踩过的坑。