С чего реально начать, если хочешь в веб-безопасность
 

Если только втыкаешь в веб-безопасность, то первое, что учишь — не гониться сразу за сложными атаками или уязвимостями. Важно разобраться с основами: понимать, какие данные и как хранятся на сайте, где чаще всего возникают проблемы и как их можно проверить. Например, банальный просмотр исходников страницы и простейшие запросы к формам часто уже покажут несколько дырок — вроде XSS или неправильной обработки input.

Дальше стоит научиться базовым инструментам — простейший сканер вроде OWASP ZAP, проверить, что сайт нормально фильтрует ввод, как настроены заголовки безопасности (Content-Security-Policy, X-Frame-Options и т.п.). Желательно иметь пару тестовых проектов или локальные стенды, чтобы бить по своим, а не пролимитироваться чужими сайтами.

Не забывать про актуальные фреймворки и движки — понять их стандартные уязвимости и как с ними работать. Круто, если умеешь настроить сервер и знаешь элементарные вещи про HTTP-протокол.

Почему это важно? Потому что если сразу прыгать в сложные темы вроде CSRF или атаку через сложные цепочки, без понимания базовых слоев — результата не будет, а может и вред нанести.

Жека, ты всё правильно сказал, лучше сначала вникнуть в основы — понять, как веб вообще работает и почему появляются дырки. Много чего полезного вытянуть можно просто из анализа простых форм и заголовков — это уже база. После это проще двигаться дальше, а без понимания основ страшно и времени потратить можно. Делай свои тесты, не торопись с сложными штуками.