Согласен, что без ручной проверки автоматом особо не разгонишься, да и ложня всегда мешает. Мне помогает сочетание ZAP для быстрого скана и Burp, если надо посложнее вручную посмотреть. Главное — не гнаться за крутыми функциями, а чуть подстроить сканер под свои задачи, иначе толку мало.