Пентест веб-приложений с нуля — это всегда вызов. На практике у всех какая-то своя схема сложилась, но обычно начинаешь с проверки входных точек, ключевых форм и API. Лично я сначала быстро пробегаюсь по самым частым дыркам — инъекции (SQL, XSS) и авторизацию — есть ли обходы или утечки? Потом смотрю, как страницы обрабатывают сессии и куки, пробую разные сценарии. На финал — проверка безопасности файлов и конфигураций, чтобы не оставить "дверки" для дальнейших тестов.