Начинать всегда сложно, но с OWASP и учебных стендов типа DVWA — хороший вариант. Главное, не гоняться за всеми инструментами сразу, а сначала понять простые уязвимости и как с ними работать вручную. Автоматика помогает, но без практики ручной проверки толку мало. В общем, шаг за шагом, и постепенно станет понятней, как всё устроено.