Практика на реальных задачах классно вырабатывает навык, когда уже понятно, чего ждать и как подходить к разным типам уязвимостей. С другой стороны, постепенное увеличение сложности помогает не перегореть и выстроить знания по шагам. Лучше всего, когда сочетаешь оба метода — так не застрянешь и будешь готов к разным сценариям.