Самое частое — забывают про правильную обработку данных с форм и про базовые заголовки безопасности, которые реально любой браузер понимает. Из-за этого многие простые атаки проходят без проблем. Также сессии часто не защищают нормально — и вот тебе проблемы с угоном. На мой взгляд, проще всего начать именно с этого, а не сразу лезть в сложные штуки типа сложных конфигураций firewall.