По мне, главное — сначала просто понять, где реально дыра, а не скакать по всем возможным багам сразу. Смотрю логи, запускаю пару простых сканеров, чтоб подсветить явные проблемы, а дальше уже точечно с фиксом, чтобы не плодить хаос. Обычно начинать с базы — SQL-инъекции, XSS — помогает быстро сузить круг.