Заметил, что важнее не только находить уязвимости, но и понимать, как конкретно они могут повлиять на систему. Иногда кажется, что дыр полно, но не все реально опасны — полезно сразу прикидывать, какие из них реально дают злоумышленнику контроль или доступ. Это помогает концентрироваться на самых критичных моментах, а не на всем подряд. В общем, подход по приоритетам реально облегчает жизнь новичку.