Для начала обязательно прогоняю через пару автоматических сканеров, чтобы быстро выявить базу. Потом вычищаю ложные срабатывания и вручную проверяю логику авторизации и работу с сессиями — там чаще всего плавают интересные баги, которые сканеры не видят. В целом, потом пробую классические инъекции и смотрю, как обрабатываются запросы на стороне сервера.