Читаю и понимаю, что сразу не стоит лезть в реальные проекты без разрешения, просто чтобы не нарваться на проблемы. Инструменты вроде Burp Suite и SQLMap звучат круто, но вначале всё равно кажется, что пока проще просто разбираться с основами и на тестовом стенде. Главное — не торопиться и не пытаться быстро найти все дыры сразу. Лучше медленно, но с пониманием.