Сначала смотреть логи и простым сканером пройтись. Если есть подозрительные места — копать глубже именно туда, а не бегать по всему подряд. Особенно SQL-инъекции и XSS — они почти всегда в топе и реально пробивают многие приложения. Потом уже фиксить и проверять заново, чтобы не усложнять себе жизнь.