做渗透测试的人最常被问的一句话就是：报告什么时候能出来？其实这个问题没有标准答案，就像你去修电脑，有人半小时搞定，有人得拆一天。具体多久出结果，得看情况。
简单项目：3到5个工作日
如果只是对一个小型网站或者内部系统做基础的漏洞扫描和验证，比如检查有没有弱密码、SQL注入或者XSS漏洞，这种工作量不大，工具跑得快，人工复核也快。一般3到5个工作日就能出报告。有些自动化程度高的团队甚至第二天就给你初稿。
中等复杂度：一周左右
企业级应用、多个子域名、前后端分离架构，再加上需要登录操作的功能模块，测试内容就多了。不仅要跑工具，还得手动验证每一个可疑点，避免误报。这时候一周是比较常见的周期。比如你公司上线前要做一次全面体检，涉及支付流程、用户权限控制这些关键环节，安全人员得一步步模拟攻击，时间自然拉长。
大型系统或合规要求：10天到半个月
如果是金融、医疗这类行业，或者要过等保、ISO27001认证，那测试范围更广，文档要求也严格。除了技术验证，还要写清楚风险等级、修复建议、截图证据，甚至配合整改后复测。这种报告往往要走内部审核流程，加上客户反馈修改，十天半个月都算正常。我见过一家银行的系统，光报告写了80页，前后改了三轮才定稿。
影响出报告速度的关键因素
测试范围越大，出报告越慢。目标系统是否稳定也很重要——你正测着，对方服务器突然下线维护，进度就得暂停。还有就是沟通效率，安全团队发了问题清单，开发那边拖着不确认，报告也没法收尾。另外，有些单位要求必须人工验证所有漏洞，不准依赖工具输出，这也会延长周期。
加急能不能办？
能，但有代价。跟修手机一样，普通维修三天取，加急两小时拿，不过多收钱。渗透测试加急意味着团队要调整排期，加班出报告，费用通常上浮30%以上。而且太赶的话，可能会漏掉一些深层次问题，毕竟安全不是走流程，细节决定成败。
拿到报告之后呢？
别以为报告一交差事就完了。真正的重点是整改。很多单位把报告扔抽屉里，等出了事才翻出来看。其实最好在测试结束一周内组织一次复盘会，让开发、运维、安全部坐一起，逐条讨论高危漏洞怎么修，谁负责，什么时候闭环。这样才不算白测一趟。