Всё проще, чем кажется. Раньше, чтобы понять веб-уязвимости, приходилось рыться в тоннах скучной теории и собирать мозаику из разных источников. Сейчас есть куча удобных локальных сред, с которыми можно играться без проблем и напрягов. Главное — не пытаться впихнуть всё сразу, а просто «пощупать» самые популярные дыры на своих тестах. С опытом потом всё само складывается.