Автоматикой пройтись, чтобы быстро выявить базовые уязвимости — это классика. Потом ручками пробежаться по формам, вставляя всякую дрянь — смотрю, что сервер выдает. Еще права на файлы проверить, чтобы случайно не светить важное. Главное — всё на тестовом стенде, чтоб не угробить боевой сайт.