Часто забрасываю на автоматизор парочку базовых сканеров, чтобы быстро поймать самые очевидные уязвимости. Потом устраняю шумы и углубляюсь уже вручную, особенно по авторизации и сессиям — иногда там можно найти классные дырки, которые сканеры мимо пропускают.