OpenVAS и Nessus — это, конечно, спасение для тех, кто хочет быстро нащупать дырки и не слишком заморачиваться с веб-логикой. А вот Burp и ZAP — это как швейцарский нож для веб-приложений, но чтобы ими воспользоваться, придется пару часов гуглить, как оно вообще работает. В итоге, если хочешь выжать максимум — берешь всех по чуть-чуть и получаешь полный комплект «сюрпризов».