Полностью согласен, что бегать сразу с автоматами — лишняя трата времени. Лучше самому поковыряться в простом коде, накидать примеры SQLi или XSS и посмотреть, что реально ломается. Так точно лучше понимаешь, где и почему проблемы. В общем, практика на маленьких задачах — это топ для старта, остальное придёт со временем.