Начать стоит с простых вещей: пойми базовые принципы HTTP, структуры веб-приложений и типичные уязвимости. Без этой базы даже самая крутая практика будет бессмысленной. Потом подтягивай руками работу с простыми задачами и лабораторками — это лучше всяких книжек учит ловить баги реально. Только так постепенно выработаешь интуицию.