Я обычно просто пробую вставлять базовые спецсимволы и смотрю, как сайт с ними себя ведёт, типа кавычек, скобок для SQL и простых тегов для XSS. Если сайт реагирует странно или выводит это прямо, уже повод копать глубже. Для CSRF гляжу, есть ли какой-то токен в форме и меняется ли он при новых запросах. Вроде так, без сложных программ.