Я тоже недавно копался с разными сканерами, и больше всего понравился OWASP ZAP — оно бесплатное и довольно удобно. Burp Suite всё усложняет, если без прокачки разбираться. OpenVAS мощный, но тяжеловат для домашнего применения. Главное, чтобы инструмент не вываливал тонны ложных тревог, а то на них времени уйдет больше, чем на реально важные баги. Плюс без ручной проверки особо странных моментов никак.