Сначала реально полезно просто посмотреть, как приложение обрабатывает ввод — туда обычно и лезут инъекции, да и XSS тоже частый гость. Потом проверить, насколько крепко сделаны логины и права — часто там самые простые лазейки. Лучше не прыгать сразу в сложные темы, а проверять стандартный набор, который легко автоматизировать и потом понять, где реально проблемы.

Точно, сначала всегда пройдись по простым и очевидным вектором — инъекции и авторизация выстрелят чаще всего. Зачем сразу лезть в замороченные вещи, если базовые проблемы и так вскрывают кучу косяков. После этого уже можно и глубже копать.