Burp Suite классика, но если нужна легковесная проверка, то Nikto и OWASP ZAP отлично справляются с быстрым сканированием. Иногда просто прогоняю через них, чтобы увидеть очевидные дырки, а дальше уже точечно копаю вручную. Несколько инструментов держать стоит — один не покрывает всё. Для тестов локальный стенд — это кайф, на живом делать наобум не очень.