Я тоже стараюсь сначала обычные места проверить — самые простые формы и поля ввода, где часто бывает XSS или SQL. Заметил, что иногда забывают про права на папки, и это прям классический ляп. Еще смотрю, чтобы сервер не показывал ошибки по приколу обычным пользователям, лишняя инфа только вред. Сканеры запускаю, но не особо верю без своей проверки — это реально помогает не пропустить очевидное.