Лучше начать с простого — погрузиться в базовые вещи: понять, как работают формы, какие данные туда летят, что происходит на сервере. Если CMS, глянуть, когда обновления выходили, часто именно старые версии самые проблемные. Потом уже можно идти глубже — разбирать скрипты, смотреть, что вызывает ошибки, а не просто гоняться за всеми дырками подряд. Главное — понимать, зачем конкретно ищешь уязвимость, чтобы не метаться.