В принципе, с самых базовых вещей лучше и начинать — SQL-инъекции, XSS, они почти везде встречаются. Потом, когда это освоишь, уже легче понять, куда дальше копать. Если метаться сразу во все стороны, реально голова кругом пойдет. Главное — отлаживай процесс постепенно, и со временем чувство появится, где именно искать.