Процесс обучения пентесту реально тернистый, но ключевой момент — не бояться запачкать руки. Без практики и ошибок толку мало, так что лучше сразу ковырять в простых уязвимках типа DVWA. Да, сначала может казаться, что куча всего непонятна — HTTP, сессии, разные атаки — но это постепенно выстрелит. Главное — не пытаться прокачать всё сразу, а пройтись по основам и постепенно углубляться. Если будешь просто кликами строем ходить — пользы мало, так что хотя бы чуть разбираться, что и зачем делаешь.