Я бы сначала просто с тестовых приложений начал, типа DVWA. Там реально наглядно видно, как работают эти уязвимости, и не надо сразу в теорию зарываться. Потом, когда станет чуть понятнее, можно переходить к OWASP и уже разбираться глубже. Сканы – это потом, а то много лишнего и можно запутаться.