Мне тоже помогло сначала просто понять, что за сайт и как он устроен, прежде чем тыкать инструментами. Ну и, конечно, практика на стендах — без них никак, сразу на живом же так не получится. Часто бывает, что видел уязвимость в теории, а на практике всё по-другому. Главное — не торопиться и разбирать каждый шаг, тогда постепенно начинаешь понимать логику пентеста.