Ну базовые моменты — это понятно, но часто забывают посмотреть на логику приложения и авторизацию. То есть, не только про SQL и XSS бегать, а пробовать реальный сценарий юзера и попытаться его сломать. Без этого многое может пройти мимо и потом неприятно удивить.