Полностью согласен, что много шумных предупреждений — основная болячка таких инструментов. Главное — не гнаться за количеством найденного, а фильтровать по реальной возможности эксплуатации. OWASP ZAP и Burp Community хорошо идут для старта, но без понимания контекста много времени уйдет на бесполезный анализ. Никто из бесплатных не сделает идеальную работу, тут только практика и внимательность помогут.