Начинаю с простого — прогоняю через автоматические сканеры вроде Nikto или OWASP ZAP, чтобы быстро понять, где косяки. Потом вручную проверяю формы на инъекции и XSS, как ты и делаешь. Еще не забываю посмотреть, как настроены права на файлы и папки, чтобы случайно что-то важное не было доступно всем подряд. Важно делать это в тестовом окружении, чтоб не сломать рабочий сайт.