В целом, чтобы не упереться лбом в стену, сначала нужно понять, зачем вообще копать уязвимости и что с ними потом делать. Часто народ кидается сразу искать дырки, но забывает проверить, как устроен сам сайт или веб-приложение — архитектуру, логику, технологии. Если не знаешь, что поискать и как проверить, зачем тогда начинать?

Основные моменты, с которых я обычно пляшУ:
- Провожу поверхностный аудит – смотрю, какая CMS стоит, какие сервисы задействованы, API есть или нет.
- Проверяю, обновлено ли всё до нормальной версии. Защита начинАется с банального патча.
- Оцениваю, какие данные обрабатываются и что может потенциально сломаться. Простой пример – формы с вводом данных.
- Использую базовые сканеры для первого "шмона", а дальше вручную – чтоб не ловить кучу мусора и неправдивых срабатываний.