В общем, я только начал копать эту тему и понял, что сначала лучше освежить базу по OWASP, а потом просто практиковаться на учебных примерах типа DVWA. Автоматикой пользуешься, конечно, но ручная проверка реально нужна, иначе пропустишь кучу моментов. Инструменты вроде Burp Suite пока осваиваю — пока сложно, но интересно. Главное — не забивать голову сложностями, а постепенно шаг за шагом изучать.