Пробовал ZAP — реально неплох для первых шагов, не надо мудрить с настройками. Burp крутой, но я пока дуб зелёный, и там иногда всё запутанно кажется. Главное, конечно, не надеяться на автомат — всегда руками проверяй, чтоб не упустить реальные баги. Сканер — просто подсказка, а дальше уже голова нужна.