Смотрю, многие лезут проверять сайты или порталы и упускают самые базовые вещи. Типичная фигня — все гонятся за сложными багами, а элементарные моменты пролетают мимо. Например, пароли по умолчанию или забытые open redirect'ы. Вот что реально стоит держать на контроле:

1) Проверять конфиги и права доступа. Часто папки с бэкапами или конфигами остаются доступными, и их забывают закрыть. Тут не надо ничего взламывать — просто заходишь по URL.

2) Обновления. Если движок или фреймворк стары, шанс попасть на известную дырку — максимум. Проверяешь версию, гуглишь уязвимости, обновляешь.

3) Валидация и экранирование данных. Ошибки тут приводят к XSS или SQLi. Даже если не знаешь, как эксплуатировать — понять, что ввод плохо фильтруется, можно по исходнику или проследив за реакцией сайта.

4) HTTPS и безопасность передачи. Сайт без HTTPS — это сразу красный флажок. Если HTTPS есть, но куча предупреждений или неверных сертификатов — тоже плохо.

5) Логика аутентификации. Много проблем из-за того, что забывают проверить сложность паролей или не ставят ограничение на число попыток входа.