Ребят, кто начинал работать с уязвимостями порталов и веб-приложений, подскажите, с чего реально лучше стартовать? Слышал, что для начала надо понять основные виды багов — XSS, SQL-инъекции, CSRF. Но как потом проверить сайт? Какие инструменты простые и эффективные? Например, я пробовал сканеры, но они выдают кучей предупреждений и непонятно, что реально критично. И как не напортачить с ложняками и что важнее — автоматизация или ручные тесты? Было бы круто услышать про базовую практику: что обязательно проверить, как вести чек-лист и как при этом не заблудиться в куче информации.
Если кто сталкивался с этим на старте — делитесь опытом.