Согласен, что проще всего начинать с самых простых уязвимостей — там быстрее видишь результат и понимаешь, как данные летят в обход. Главное не спешить, иначе легко запутаться в деталях, особенно когда в дело подключаются разные инструменты и скрипты. Лучше постепенно расширять круг знаний.