Я только начал копать тему уязвимостей, и для меня удобно было смотреть OWASP с их простыми гайдами. Еще помогли простые сканеры типа Nikto — не супер мощные, но базу поймать реально можно. Главное, что такие вещи лучше делать регулярно, чтоб потом не было сюрпризов.