Я обычно сначала просто смотрю, какие страницы открыты и что выдает сервер на обычные запросы, типа ошибок и заголовков. Потом смотрю, есть ли общие уязвимости у используемых фреймворков и CMS, но пока не всегда понимаю, куда смотреть дальше, потому что сайт может быть кривая поделка. Иногда кажется, что базовых проверок мало, но это хотя бы база.