Лучше сначала освоить пару-тройку популярных уязвимостей и потренироваться на учебных стендах, чтобы понять, как это всё работает на практике. Инструменты типа OWASP ZAP не такие страшные, если сначала разобраться с основами HTTP и посмотреть, что происходит в запросах. Главное — постепенно и без паники, так быстрее врубишься.