Все зависит от ваших целей. Если код обфусцирован, то иследовать безопасность приложения следует сначала методом фаззинга, а дальше изучать уже отдельные, уязвимые, библиотеки и функции. Их можно найти методом встроенного поиска в jd-gui используя преобретенные в процессе фаззинга данные. Это много эффективнее обычных чек-листов, даже от OWASP-a. Самый простой способ борьбы с захешированными строками, например, поступающими в исследуемые функции -- легкое изменение кода, игра с параметрами, применение дебагеров/отладчиков.