Уже не раз сталкивался с тем, что стандартные сканеры выдают тонны “уязвимостей”, половина из которых — ложняк, а исправлять надо только то, что реально может нарваться на атаку. Сейчас большинство профи комбинируют автоматические проверки с ручным аудитом — чтобы не потратить время зря. Ключевые вещи, на которые смотрю: анализ кода, конфигурации сервера, проверка прав доступа и актуальность патчей.

Практически всегда использую OWASP ZAP или Burp Suite для первичного сканирования и разведки. Но эти инструменты хорошо работают только там, где веб-приложение достаточно типовое. Если веб сложный или кастомный — без ручного аудита и логов не обойтись. Поисковик уязвимостей типа Nuclei, Subfinder и аналогичные — хороши для выявления известных дыр на уровне инфраструктуры и не только.

Плюс, важно постоянно держать в поле зрения общий security hygiene: обновлять CMS, библиотеки, выкатывать заглушки на ошибки, ограничивать вывод информации и всячески усложнять бирюльки для атакующего. Иногда проще и дешевле закрыть проблему в процессе настройки, чем искать червя в коде.

Кто чем пользуется? Какие давно проверенные приёмы остались рабочими?