Burp всё ещё на коне, но без допилок и понимания получается только базовый слой. ZAP автоматизирует, но часто приходится фильтровать кучу ложных срабатываний — трата времени. Веб сложнее стал, и никакой софт сам не раскроет всё, ручной анализ никто не отменял. Лучше взять пару проверенных тулз и не гнаться за сотней разных.