渗透测试要花多少钱？
简短的答案是「取决于范围」，但仅凭这句话帮助不大。所以这里讲清楚究竟哪些因素决定项目价格、一份真实报价包含什么，以及如何针对您的情况获得准确的数字。
为何没有单一价格
为「一次渗透测试」标出单一固定价，无法反映实际测试的内容。一个三页的 Web 应用加一个营销站点，跟一个拥有数百个 API 端点的多租户平台，根本不是同一份工作。定价基于工作量：它取决于这项工作真正需要多少熟练测试者的时间。有三个因素对这一工作量影响最大。
需要测试的内容有多少：约定边界内的应用、API 端点、主机、用户角色与环境的数量。
您需要的保障程度（一次聚焦的检查，还是对照某标准的深度白盒验证），以及盒型（黑盒、灰盒或白盒）。
目标有多复杂。复杂的业务逻辑、定制的身份认证、繁重的集成与定制技术，都会增加测试时间。
哪些因素决定价格
这些因素决定报价的高低。了解它们有助于您合理界定范围，并识别出低到不可能是真正人工测试的报价。
目标的类型与数量
单个 Web 应用的费用，低于一个 Web 应用加上它的 API、移动客户端与外部网络。每个目标都是一个独立的项目，有其各自的方法（Web、API、移动、网络、云）。
攻击面的规模
更多页面、更多 API 端点、更多主机与更多用户角色，意味着更多需要测试的内容。尤其对 API 而言，路由数量以及需要跨多少角色/租户测试，决定了所需时间。
深度与盒型
黑盒探查很耗时间；灰盒（凭据加规范）是高效的常规做法；白盒能为高保障或标准验证实现最深的覆盖。保障越深，意味着工时越多。
应用的复杂度
繁复的业务逻辑、定制的身份认证与授权、第三方集成与定制技术，要彻底测试都比一个现成的标准应用花费更长时间。
合规与报告需求
与某标准挂钩的测试（例如 PCI DSS 隔离测试）有其特定的要求与报告格式。一份达到合规级别的交付物与证据包，比一份内部摘要工作量更大。
复测与保留服务
验证修复是否真正解决了问题同样需要时间。在 Vexaro，对已整改发现的复测已包含在内、不额外收费，复测的时间窗口写入工作说明书（SoW）。持续合作或保留服务安排的定价方式与一次性项目不同。
参考周期
费用大致随周期变化，而周期又取决于范围。以我们的服务形式作粗略参考：一次渗透测试（Web、移动、API 或外部边界）通常需要 1 至 3 周，一次安全与文档审计需要 2 至 4 周，一次红队项目需要 3 至 6 周。合规准备耗时更长：例如 ISO 27001 准备需要 6 至 9 个月，SOC 2 Type II 则需要一段实施期，再加上 3 至 12 个月的观察窗口。
这些是参考周期，而非价格。最终的范围与工作量取决于约定的威胁模型与目标。范围一旦明确，我们就会给出固定报价。
关于费用的常见问题
因为准确的价格需要以范围为前提。同样是「Web 应用渗透测试」，依据规模、角色与复杂度的不同，可能需要几天，也可能需要数周。我们会快速界定范围（往往通过一次简短通话），然后给您一个固定报价，而不是一个日后会带来意外开销的数字。
通常是深度。报价极低往往意味着自动化扫描加上草草的人工检查，而非真正以人工为主的测试。请比较实际所做的工作（人工测试、业务逻辑与授权覆盖、一份真实报告以及一次复测），而不只是看标价。
我们从一次简短、免费的咨询开始，以了解目标、角色、环境与您的目标。在此基础上，我们商定一个边界并提出一个范围，然后给出固定报价与周期。任何访问前都会签署 NDA。
包含。在您完成整改后，我们会对已修复的发现免费复测，以确认风险已被消除。工作说明书（SoW）会写明复测哪些发现以及时间窗口，因此这是事先约定的，而不是事后追加的。
可能会。与某标准挂钩的测试（例如 PCI DSS Requirement 11.4 隔离测试）有其特定的要求与报告格式，而一份达到合规级别的证据包比一份内部摘要工作量更大。我们会就此明确界定范围，以免出现意外。