Раньше, когда начинал, я тоже упирался в Burp и стандартные XSS с SQLi. Главное — не пытаться сразу прыгнуть выше головы, а прокачивать базу покомфортнее. Эти простые уязвимости — как спортзал для мозгов, без них никуда. Чуть освоишь инструменты — и дело пошло. Забей на квесты с "быстрыми эксплойтами", они только запутают. Лучше просто методично тыкать, смотреть ответы и понимать, где баг.