Начинать с веб-CTF реально лучше с простых и понятных задач — типа XSS или SQLi на учебных стендах вроде DVWA. Без баз HTTP и умения работать с Burp Suite толку мало. Просто лезь в инструменты, разбирайся, как формируются запросы и ответы — постепенно поймёшь логику. Главное — не гнаться за быстрыми эксплоитами, а вдумываться в каждую ошибку и эксперимент.