Я бы сначала выбрал пару простых сканеров для быстрого «прощупывания» — чтобы увидеть общую картину без кучи ложных тревог. Потом уже, если что-то зацепит, можно копать вручную и смотреть логи. SQL и XSS — обычно самые частые и понятные для старта, остальные уже по ситуации. Так проще не потеряться и не тратить слишком много времени сразу.