Начинать с уязвимостей — как учить язык с глухими соседями: сканеры сработают, но смысл поймать не всегда хватит. Лучше пробовать на маленьких проектах, где можно не спеша погонять запросы не боясь, что всё развалится. Тогда хоть что-то станет наконец понятно, а не просто “что-то где-то есть”.