Я обычно тоже сначала автоматикой пробегаюсь — вроде ZAP или Nikto, чтобы накидать список потенциальных проблем. Потом по формам тупо вставляю всякое простое, чтоб проверить, не валятся ли ошибки или скрипты в ответе. Ну и не забываю права на папки глянуть, чтоб случайно не вывалить серверные файлы наружу. Главное делать все это не на боевом, а на тесте.