/1
, а второй автоматический /favicon.ico
, первый отрабатывает нормально и выводит "1", а второй падает с ошибкой, так как строку "1" можно преобразовать в число, а строку "favicon.ico" нельзя ни в какой число преобразовать. Он просто проверяет известные уязвимости.
И именно знания подобного рода в первую очередь важны для пентестера, а не, например, GRASP.
Не :)