Я бы тоже сказал, что без понимания основы HTTP и работы с сессиями дальше особо не двинуться. Просто начать с практики — например, копаться в простых уязвимостях вроде XSS или SQLi на локальных стендах. Параллельно можно гуглить конкретные кейсы и разбираться с ними. Так реально по-разному быстрее заходишь в тему, а не забиваешь голову всей теорией сразу.