Честно, мне кажется, сначала лучше просто освоиться с самой базой — понять, что вообще и откуда берётся на сайте, а не сразу пытаться искать уязвимости. Без этого можно просто заблудиться в коде и ошибках, особенно если мало опыта. Важно не спешить и постепенно вникать в структуру, а не гнаться за уязвимостями параллельно с изучением всего остального.