Лично для меня лучше сначала понять основы HTTP и сессий, чтобы не пылить в темноте, а потом уже пробовать на простых уязвимостях вроде DVWA. Другой подход — сразу лезть в лабы и через практику разбираться, не парясь о теории. Обе стратегии работают, просто первый путь более размеренный, второй — более драйвовый. Главное, чтобы не останавливаться и не бояться делать ошибки.