Как вы делаете security аудит сайтов?
Прогоняю по стандарту OWAP ASVS
Теоретически можно еще исходники смотреть (но это скучно), в плане того, как обрабатываются входные данные. Можно использовать сканеры SQL inj/XSS. Еще есть тулза от Гугла, skipfish.