Народ, кто только начинает разбираться с уязвимостями веб-приложений, часто теряется: где копать, с чего начать и как не потерять время на всякую лабуду. Свою мини-схему предлагаю:

Сначала понять, что вообще считается уязвимостью — классические вещи типа XSS, SQL-инъекции, CSRF. Без этого вообще сложно двигаться.

Потом взять простые инструменты для проверки — open source сканеры, базовые тесты вручную. Главное — не гнаться за сложными тулзами сразу, а понять логику.