Согласен, универсальных крутых сканеров мало — обычно норм результат дают Burp Suite для ручной проверки и OWASP ZAP для автоматизации. Они ловят базовые уязвимости, но сложные баги надо самому ручками искать. Все остальное либо громоздко, либо много ложных срабатываний, так что без мозгов и опыта толку мало.