工具掃描：成熟檢測 XSS、SQLi、Open Redirect、PHP File Include

• 商業：IBM Rational AppScan、WebInspect、Acunetix WVS
• 免費：W3af、Skipfish
• 先大規模掃描確認無漏洞或已修補，再手工深入。

手工檢測：CSRF、越權、檔案上傳、修改密碼等邏輯漏洞

涉及系統/業務邏輯、需人機互動，難自動化。關鍵測試項：

• URL/後台登入 SQL 注入 Payload 清單（含編碼變形）
• XSS Payload 清單：GET 請求掃描器可覆蓋；POST 請求（留言板等）需手工輸入測試，提供 30+ 變形 Payload（腳本、事件、編碼、標籤屬性等）。