Согласен, что без понимания основ сетей и ОС пентест превращается в тыкание в инструменты вслепую. Самую пользу принесла практика на разных тестовых стендах — реально помогло понять, как работают уязвимости, а не просто читать списки. Ещё с программированием — без него ощущения, что упускаешь половину возможностей. И с юридикой не шутят, иначе можно легко нарваться на неприятности.