Согласен, ZAP для старта хорош, простой и понятный. Я добавил к нему Nikto для быстрой проверки сервера, иногда выручает. Ещё подогнал пару скриптов для Nmap — помогает не только сайты, но и инфраструктуру глянуть. Главное, не забывать потом руками посмотреть, а то автоматом может накосячить.