内容摘要：上周有个做跨境电商的客户找我询价，开口就问“渗透测试多少钱一次”。我反问他：你测什么？他说不知道，就是听说做这个能防黑客。这种对话我每个月至少遇到七八次。渗透测试的价格从几千块到几十万都有，差别不在测

上周有个做跨境电商的渗透客户找我询价，开口就问“渗透测试多少钱一次”。测试我反问他：你测什么？价格他说不知道，就是渗透听说做这个能防黑客。这种对话我每个月至少遇到七八次。测试渗透测试的价格价格从几千块到几十万都有，差别不在测试员手速快慢，渗透而在你究竟要测什么、测试测多深、价格谁来测。渗透

先看一个真实案例。测试去年有个做SaaS的价格创业公司，花8000块找了个自由职业者做渗透测试。渗透报告出来了，测试20页PDF，价格列了三个中危漏洞，全是扫描器跑出来的结果。后来他们被拖库了，攻击入口是一个逻辑漏洞——密码重置接口可以遍历用户ID。那个自由职业者根本没测业务逻辑，因为8000块的预算只够跑跑自动化工具加半天人工验证。同一时期，另一家金融公司花了15万请团队驻场两周，测出了包括越权、支付绕过、SSRF在内的完整攻击链。价格差18倍，覆盖的深度差了一个维度。

价格到底由什么决定

人力成本是硬指标。一个能独立完成Web渗透测试的工程师，日薪在3000到8000之间。一个项目至少需要两个人配合——一个打点一个写报告。你算算，五天的工作量，光人力就3万起步。那些报价5000块还包复测的，要么是用应届生练手，要么是直接拿扫描器报告糊弄你。我见过最离谱的，某平台标价1999元，交付的报告里连目标IP都写错了。

测试范围直接翻倍价格。只测一个登录页面和测整个业务系统，工作量差十倍不止。API接口现在是大头，一个中等规模的App可能有200多个接口，每个都要测鉴权、测参数污染、测速率限制。光整理接口清单就得花两天。如果你还有小程序、公众号、H5，每个入口都是独立攻击面。我经手过一个项目，客户说“就一个网站”，结果登进去发现集成了六个子系统，报价直接翻了三倍。

合规要求是隐形加价项。等保测评、PCI DSS、GDPR，每个标准对渗透测试的方法论和报告格式都有硬性规定。你要出合规报告，测试员得按模板逐项填，还得保留所有原始请求响应。这比自由发挥多花30%的时间。有个做医疗的客户，因为要过HIPAA，光报告审核就来回改了四版。

市场报价的几种典型区间

3000到8000元：自动化扫描加人工复核。适合刚上线的小程序或者内部测试环境。别指望能挖出逻辑漏洞，就当买个基础体检。我一般不建议客户选这个档，除非你只是应付投标需要一份报告。

1万到5万：单系统深度测试。一个熟练的测试员花三到五天，手工验证OWASP Top 10，覆盖主要业务逻辑。这是大多数中小企业的合理选择。但要注意，这个价位通常不含社交工程和物理入侵。

5万到15万：多系统加代码审计。团队作业，会用到白盒测试。能发现源码级别的漏洞，比如硬编码密钥、不安全的反序列化。适合有研发团队的公司，修漏洞的效率会高很多。

15万以上：红队评估。不限制攻击手法，钓鱼、近源渗透、供应链攻击都可能上。目标是模拟真实黑客的完整攻击路径。金融、能源、大型互联网公司才会选这个档。我参与过一次红队项目，光是前期情报收集就花了一周，最后从保洁阿姨的WiFi入手拿下了内网。

怎么花对钱

别按次买，按需买。先做资产梳理，把对外暴露的系统列清楚，按业务重要性排序。核心交易系统值得花5万，内部OA系统花5000都嫌多。我见过客户把80%预算砸在官网上，结果核心API裸奔。

要求看测试员的OSCP或CISP证书，但别只看证书。让他讲讲最近挖到的漏洞案例，能说出具体利用细节的才靠谱。那些张口闭口“我们使用国际领先工具”的，大概率是销售转行。

合同里写清楚交付物。原始请求响应包、漏洞复现步骤、修复建议、复测次数。少一样都别签。我见过最坑的合同，修复建议就一句话“请及时更新补丁”。

渗透测试不是保险，是体检。花多少钱取决于你想查多细。但有一点是确定的：低于市场均价太多的报价，最后买单的往往是你的数据。