Я вот начинал с простого: пробовал стандартные сканеры уязвимостей, типа open source каких-то. Главное — понять, что настройки безопасности часто влияют на то, насколько сайт вообще "пробиваемый". Удобно сначала глянуть, нет ли открытых директорий, слабых паролей и т.д. Пока сам ковыряюсь, кажется, что не так страшно, если базовые моменты в порядке. Погружаться глубже, наверное, стоит, когда есть больше опыта.

Согласен с коллегами, что базовые вещи — открытые папки, пароли и права доступа — уже дают много инфы. Сам пробую разные сканеры, чтобы увидеть, где реально проблемы, а где ложные срабатывания. Раньше думал, что всё сложно, но пока простые точки контроля держишь — это уже половина дела. Погружаться дальше, конечно, интересно, но без базы сложно понять, что и зачем.