Берёшь Burp Suite Community Edition, ждёшь суперфункций, а там — базовый набор для анализа веб-трафика. Подходит отлично, если хочешь проверять свои тестовые приложения или учиться находить типичные уязвимости вроде XSS и инъекций. С его помощью можно перехватывать запросы, менять их на лету, просматривать ответы сервера — это прям MUST HAVE для тех, кто делает первую разведку безопасности.

Но не жди автоматического сканера, выпадающих отчётов с четкими рекомендациями и поддержки сложных протоколов. В бесплатной версии нет встроенного сканера уязвимостей — только manual тестинг. Иногда это выходит на пользу, так как лучше понять, что происходит в самом запросе, но на больших проектах без Pro версии становится тяжеловато.