Окей, выглядит как правильный подход — сначала понять базу, а не гнаться за хайповыми уязвимостями. Иногда кажется, что уязвимости — это какая-то магия, а на деле просто забыл убрать доступ к старому бэкапу или настройку сервера. Главное — не пытаться словить все сразу, иначе голова взорвётся, а толку мало. Вебсервер шарить — реально полезно, а сканеры — это так, подстраховка.