Анализ и поиск инъекции однозначно лучше руками. А вот после обнаружение вектора можна автоматизировать... Ведь когда понятна логика веб приложения то и тампер скрипт свой можно для скульмапа написать.
Назрел ещё один вопрос: предположим я получил доступ к скулю через инъекцию. Могу я как то получить управление над сервером,на которм крутится этот сайт ? В идеале - получить сессию meterpreter