Я пока в основном играюсь с тем, как данные с форм уходят на сервер и пробую вставлять в поля всякие штуки, типа скриптов или кавычек, чтобы понять, где зависает обработка. Кажется, проще всего начать с простых XSS и SQL-инъекций, а потом уже дальше копать, как это всё защищается на практике.