Честно, сканеры вроде ZAP и Nikto — это лишь начало, мало что покажут из реальных дыр, особенно на сложных сайтах. Burp Suite помогает, но без опыта толку мало — можно часами крутить запросы и ничего толком не понять. В итоге кажется, что проще сразу копать основы безопасности и уже потом пытаться что-то искать, иначе много времени уйдет в никуда.