Пробую тестовые стенды на Docker — удобно копировать весь сайт и базу, можно смело пробовать разные сканеры без страха сломать продакшен. Главное, бэкапы делать, иначе проще с нуля строить. OWASP ZAP и SQLMap помогают быстро поймать базовые уязвимости, дальше уже ручками на логи смотреть и чекать права доступа. Такой подход реально экономит нервы и время.