Вообще тут не всё так просто, как кажется на первый взгляд. Да, основные уязвимости — это база, но часто real-world приложения могут давать совсем неожиданные дыры, которые классикой не называется. Про инструменты тоже не всё однозначно: иногда слишком простые вещи ничего не дадут, а сложные тулзы — геморрой без толку, если не понимаешь, что ищешь. Лучше на практике пробовать всякое, а не только тырить из учебников.