Для базового аудита веба иногда хватает ZAP с парой плагинов — быстро, удобно и бесплатно. Если хочется глубже, Burp хорошо помогает, но да, не всем по карману. Новые тулзы с Гитхаба тоже интересны, но лучше совмещать с проверенными решениями — так надёжнее.