Но как они их находят? Везение? Опыт (а если его нет)?
Везение тоже срабатывает, думаю многие сталкивались с такими случаями. Если везения нет, значит вы мало пробовали что либо делать, потому что компьютерные технологии изрешечены дырками как сито для пасты, разные поставщики софта выплачивают в течении четырех месяцев за найденные вами уязвимости $2000 за 1 шт., тем более если они успели стать публичными