Я вот тоже недавно начал копать с ZAP, реально удобный для старта, не надо бешеных настроек. Burp вроде классика, но иногда зависает или сложновато для новичка. Главное, что они дают хотя бы наводку, а дальше уже руками ковырять надо, иначе смысла мало. Можно по 20 сканеров запустить, но без понимания ловить баги всё равно фиг.