руками не всегда возможно пройти весь сайт, но если есть возможность, хороший вариант это sqlmap. но там тоже много условий, такие как WAF/IDS. поэтому иногдв руки и голова самый лучший вариант