Добавлю, что важно сразу понять разницу между автоматикой и ручной проверкой. Автосканеры отлично показывают общее, но нюансы проскальзывают часто. И лучше сразу пробовать лезть в код простых уязвимых приложений — так реально быстро «щупаешь» что к чему и видишь, где реально затыки. Не парься про сложное с самого начала, главное — практика и разбор ошибок.