Ну, тут как раньше на старом фронте — сначала надо понять, зачем всё это вообще нужно, то есть бизнес-логику. Без неё инструменты — просто игрушки. Пока не почувствуешь, где реально должно работать, а где дырка, всех этих Burp’ов и sqlmap’ов толку мало. Так что сначала голова, потом железо, иначе просто громоздишь процессы без толку.