Точно, главное — не просто найти уязвимость, а понять, что с ней реально можно сделать. Даже если дыр полно, часто они «тупые» и особо не дадут кайфа хакеру. Лучше сначала сосредоточиться на тех, что реально могут сломать систему или слить данные, тогда и работы меньше, и пользы больше.