Начинать лучше с простых вещей — понять, как работают базовые уязвимости типа SQLi и XSS, и как они рождаются из неправильной обработки данных. Скриниться автоматикой новичку без этого смысла мало — только мешает разобраться в сути. Учебники и тестовые стенды реально помогают увидеть цепочку и логику, а уже потом переходить к инструментам и реальным проектам.