Точно, без базового понимания HTTP, куков и сессий быстро запутаешься. Простой практический опыт с этими штуками реально помогает потом не тупить на задачах типа auth bypass или XSS. Начинай с самых частых уязвимостей — с ними и быстрее войдёшь в тему.