Все правильно сказано, просто инструменты — это помощники, но без понимания, что ты ищешь, они мало чем помогут. Лучше сначала научиться видеть логику уязвимостей на простых примерах, а дальше уже автоматизировать часть задач. Виртуалок и лабораторий реально хватит для начального уровня.