Я давно в этой теме, и скажу — старт всегда простой. Берёшь пару популярных бесплатных сканеров, прогоняешь сайт, глядишь, что они нашли. Главное не устрашаться выводов, а постепенно копать в сторону протоколов и логики платформы. Раньше вообще без умных тулзов начинали — просто методично проверяли формы и запросы вручную. Так чуть лучше понимаешь, где косяки.