Кто как обычно подходит к проверке уязвимостей на сайте? Часто вижу вопросы про SQL-инъекции, XSS, CSRF, но мало кто реально понимает, с чего начать и как проверить основные моменты без глубокого погружения. У меня правило — сперва базовые настройки сервера и фреймворка проверить, потом инструменты типа OWASP ZAP/nikto, и только потом более глубокий ручной аудит. Сравнивал разные подходы — автоматом можно пропустить важные нюансы, а чисто руками сильно дольше идет. Кто что использует для быстрого охвата и какие типичные ошибки при проверках замечаете?
Еще интересно, как вы решаете, когда баг в коде, а когда проблема в конфиге? И что в итоге эффективнее закрывает дырки: код или инфраструктура?