Согласен, что проще начать с базовых проверок и не лезть сразу в сложные штуки. Я обычно тоже просто смотрю обновления, пробую вставить всякие символы в поля и гляжу, что выдает сайт. Заголовки безопасности не всегда включены, а это уже красный флаг. А простая проверка публичных папок часто сразу много чего покажет, особенно если кто-то забыл удалить старые файлы. Главное — делать это регулярно, чтоб не попадать на серьезные проблемы.