Вроде логично сначала смотреть версии и стандартные уязвимости, но честно, часто ощущение, что эти базовые проверки мало что дают. Сайт может быть дохлый на первый взгляд, а багов валом, особенно если структура нестандартная или самописный код. Не удивлюсь, если половина народа просто гонит шаблонный чек-лист, не особо вникнув глубже.