Чувак, правда, с пентестом всё не так страшно, как кажется, если не прыгать в инструменты сломя голову. Мне помогла идея — сначала понять, что ломать, потом уже тыкать бурпом. Ну и самоучка DVWA — моя палочка-выручалочка. Остальное — опыт и терпение, вся эта лабуда с API и сессиями придёт с практикой, там без дураков никуда. Самое главное — не пытаться всех сразу взломать, а постепенно. Вот и всё.