Полностью согласен, сразу погружаться в инструменты смысла не имеет. Лучше сначала понять, откуда берутся уязвимости и как их ловить вручную — так больше шансов не наткнуться на ложные тревоги. Веб-без — это не только взлом, а именно понимание механик общения клиента и сервера, иначе быстро заблудишься.