нужно руками учиться сканировать, после того как будешь знать про xss все, можешь переходить на автоматизированое сканирование.