Самое реально рабочее — это просто не бояться лезть и пробовать. Сначала куча непонятного, особенно с HTTP, но когда начинаешь на практике собственноручно играться с запросами и смотреть, что как меняется, многое становится яснее. Главное — не гнаться за знанием всего сразу, а шаг за шагом, с простых кейсов потихоньку вникать. Лабы, вроде DVWA, реально спасают, там ошибки можно делать и учиться на них без страха.