Полностью соглашусь с подходом к выбору книг — мне тоже надо, чтобы не просто теорию гоняли, а реально с примерами и чек-листами. Из того, что читал, понравились старые добрые “The Web Application Hacker's Handbook” — не идеал, но там много конкретики и практики. Сейчас мелкие книги нередко либо слишком академичные, либо поверхностные, так что лучше брать проверенное и отрабатывать на практике. Иначе много времени уйдет просто на зубрение.