Когда в голове хаос и хочется pаять пентест, но не знаешь, с чего — сразу скажу, в первую очередь кайфуй от постоянного обучения. Вот чем реально можно заняться по порядку:

1. Основы сетей — TCP/IP, DNS, HTTP. Без этого никак, иначе гуглить каждое слово придется. Книги или видео, где объясняют простыми словами, лучше именно для новичков.

2. Простенький Linux вживую. Установи виртуалку с Ubuntu или Kali, и смотри, как устроена система. Куча инструментов там уже есть, учись ими пользоваться.

3. Учебные лабки вроде Hack The Box или TryHackMe — идеальны, там пошагово и с подсказками. Можно в своём темпе.

4. Знакомство с языками скриптов — Python или Bash. Понимать, как автоматизировать задачи и писать простые скрипты в пентесте очень важно.

5. Изучать базовые инструменты: nmap, netcat, burp suite (есть бесплатная версия), wireshark. Тестить безопасность на тестовых стендах, а не на реальных системах.

6. Разобраться в типах уязвимостей: что такое XSS, SQL-инъекции, CSRF и т.п. Научиться их выявлять на стендах, а не просто читать теорию.

Не кидайся сразу к сложным багам и эксплоитам — от этого быстро сдуваешься. Главное — брать маленькими порциями, по чуть-чуть практиковаться и не торопиться. Кто что добавит по старту?