Начинаю с самых распространённых и простых, типа SQL-инъекций и XSS. Потом уже смотрю на другие, если время есть. Главное — понять, где данные от пользователя идут в запросах, вот там и копать сначала. Если сразу везде пытаться, мозг взорвётся)