很多企業(yè)在準備安全合規(guī)、招投標、系統(tǒng)上線材料時，第一件事就是咨詢滲透測試報價。但經(jīng)常發(fā)現(xiàn)不同服務(wù)商給出的價格差距很大，幾千到幾萬不等，核心原因是：滲透測試報告不是標準化商品，價格取決于測試范圍、測試深度、交付標準以及報告采信能力。很多低價方案只是自動化漏洞掃描，并非真正人工滲透測試，拿到的報告也無法用于驗收、評審。

一、先分清：掃描報告≠滲透測試報告

市場上有兩類容易混淆的交付物，價格差異巨大：

1. 自動化漏洞掃描報告：依靠工具自動掃描，無人工驗證、無攻擊鏈復(fù)現(xiàn)，價格偏低，一般幾千以內(nèi)。只能作為內(nèi)部自查參考，多數(shù)場景不滿足招投標、監(jiān)管驗收要求，漏洞誤報多，缺少風險處置建議。

2. 人工滲透測試報告：授權(quán)前提下，安全工程師模擬攻擊者思路，做信息收集、漏洞驗證、權(quán)限提升、橫向移動、業(yè)務(wù)邏輯挖掘，剔除誤報，按風險等級分級，附帶整改方案、復(fù)測服務(wù)，這份才是合規(guī)評審認可的正式滲透測試報告，也是大家通常需要的版本。

二、國內(nèi)主流市場參考區(qū)間（人工滲透，單次）

僅為市場參考，不含稅，Zui終以商務(wù) scope 確認為準

三、決定報價的核心因素

1. 測試資產(chǎn)范圍域名、IP、接口、App端、后臺管理系統(tǒng)是否納入，是報價第一要素。很多低價報價只測前端，不含后端接口、管理后臺，后續(xù)驗收時才發(fā)現(xiàn)覆蓋不全。

2. 測試模式（黑盒 / 灰盒 / 白盒）黑盒：不提供內(nèi)部資料，純外部探測，價格偏低；灰盒：提供測試賬號、基礎(chǔ)文檔，是企業(yè)Zui常用方案，性價比Zui高；白盒：提供架構(gòu)文檔、源代碼，測試深度更深，價格更高。

3. 是否包含復(fù)測服務(wù)標準滲透項目一般包含一輪整改復(fù)測。如果報價不含復(fù)測，漏洞修復(fù)后想要復(fù)測，需要額外付費，無形中拉高總成本。

4. 報告用途與合規(guī)要求僅內(nèi)部自查，報告格式相對簡單；用于招投標、等保測評、項目驗收、監(jiān)管備查，對報告格式、風險描述、證據(jù)截圖、整改建議有嚴格要求，交付成本更高。

5. 機構(gòu)資質(zhì)與工程師水平具備合規(guī)資質(zhì)的第三方測評機構(gòu)，工程師經(jīng)驗充足、流程規(guī)范，報告采信度更高，報價通常高于小型安全團隊。個人工作室低價項目，報告經(jīng)常不被評審方認可。

四、常見計價方式

五、比價避坑要點

1. 比價時一定要統(tǒng)一測試范圍，問清楚：是否包含后臺、接口、復(fù)測、證據(jù)截圖；

2. 警惕超低價 “滲透報告”，大概率是工具掃描產(chǎn)物，漏洞誤報多，無法用于驗收；

3. 提前確認報告是否可用于你的場景：招投標、項目驗收、等保配套；

4. 所有滲透測試必須簽署書面授權(quán)書，無授權(quán)的滲透屬于違規(guī)行為，正規(guī)機構(gòu)都會要求提供。

滲透測試沒有統(tǒng)一固定價，脫離范圍談價格沒有意義。預(yù)算有限可以優(yōu)先選擇核心業(yè)務(wù)系統(tǒng)做專項人工滲透；如果是招投標、驗收場景，優(yōu)先選擇交付規(guī)范、報告可采信的第三方機構(gòu)，避免拿到報告之后無法使用，耽誤項目進度。