hace un tiempo uso bt4r2, para las web te recomiendo SQLiX y sqlmap, son buenas herramientas, tambien nikto te va a servir. el sqlix scanea vul en las web y el sqlmap las injecta (sqlix tambien pero prefiero sqlmap) nikto te hace un scanner completo (diria yo) de la web, no son dificiles de usar espero te sirva de algo.