Если честно, то сейчас много шума вокруг всяких автоматчиков, но чаще всего ловишь баги просто накрутив ручной тестинг и покрутив логи. Вот эти все ZAPы и Burp — хорошо, но без живого глаза баги могут проскочить. Так что инструменты — это как фонарик, а дальше мозги нужны.