Сканеры помогают быстро собрать инфу, но ручная проверка — это уже совсем другой уровень, особенно когда надо детали ковырять. WAF действительно часто либо слишком агрессивный, либо почти бесполезный, если его не прокачать, так что без баланса никуда. В общем, без опыта и времени выловить всё сложно, но комбинация инструментов даёт более адекватную картину.