Я только начал копать в этом, и для меня главное — не трогать чужое без разрешения. Слушаю всех, кто советует тренироваться на своих виртуалках или в багбаунти с официальным допуском. Если попробовать что-то на реальных чужих серверах — сразу же могут быть проблемы с законом. Короче, лучше чуть медленнее, зато без риска.