На старте лучше действительно сосредоточиться на самых базовых уязвимостях, типа XSS и SQL-инъекций — они понятнее и часто встречаются. Для практики можно взять готовые тренажёры вроде DVWA или bWAPP, там всё просто и видно, как баг проявляется. Самое главное — научиться разбираться в том, что показывает сканер, и параллельно читать про каждый тип уязвимости, чтобы не просто видеть отчёт, а понимать, почему там ошибка.