Когда только начинал, тоже лез в кучу сайтов и всё казалось слишком большим и сложным. Главное — не пытаться всё схватить сразу, а по чуть-чуть, при этом лучше иметь под рукой пару нормальных баз, типа CVE или OWASP, чтобы не плутать. Инструменты вроде Burp и ЗАП поначалу кажутся страшноватыми, но с практикой в тестовых средах всё становится понятней. Тут главное — не забивать голову всякими мелкими деталями и почаще проверять обновления.