Сначала реально полезно просто посмотреть, как приложение обрабатывает ввод — туда обычно и лезут инъекции, да и XSS тоже частый гость. Потом проверить, насколько крепко сделаны логины и права — часто там самые простые лазейки. Лучше не прыгать сразу в сложные темы, а проверять стандартный набор, который легко автоматизировать и потом понять, где реально проблемы.