Точно, начинать с практики — самое правильное. Я сам пару раз пробовал ломать свои тестовые виртуалки, и сразу стало понятнее, зачем нужны инструменты типа nmap и burp. Без таких опытов реально сложно понять, что куда тыкаешь и зачем. И да, согласен, что без разрешения лучше не лезть туда, где нельзя. Просто можно легко вляпаться.