Когда начинал с тестовых стендов, думал, что это сложно, а на самом деле — просто заводишь себе копию сайта и колупаешь спокойно. Главное не лезть на живые проекты без разрешения, а с инструментами как Burp или sqlmap можно быстро понять, где косяки. Ну и лучше вести записи, чтобы потом не вспоминать, что и как ты там проверял.