Пробую сам на локалке ставить WP с парой плагинов и уже начал хватается за XSS и SQL, нормально тренирует. Главное, конечно, чтобы ничего реального не трогать, а то быстро можно влепить проблем. Инструменты пока только самые базовые — Burp и браузерные девтулзы, и то еще не все понимаю, но кайф ловлю. Главное — не забывать фиксить баги, чтобы потом не путаться.