Если только втыкаешь в веб-безопасность, то первое, что учишь — не гониться сразу за сложными атаками или уязвимостями. Важно разобраться с основами: понимать, какие данные и как хранятся на сайте, где чаще всего возникают проблемы и как их можно проверить. Например, банальный просмотр исходников страницы и простейшие запросы к формам часто уже покажут несколько дырок — вроде XSS или неправильной обработки input.

Дальше стоит научиться базовым инструментам — простейший сканер вроде OWASP ZAP, проверить, что сайт нормально фильтрует ввод, как настроены заголовки безопасности (Content-Security-Policy, X-Frame-Options и т.п.). Желательно иметь пару тестовых проектов или локальные стенды, чтобы бить по своим, а не пролимитироваться чужими сайтами.

Не забывать про актуальные фреймворки и движки — понять их стандартные уязвимости и как с ними работать. Круто, если умеешь настроить сервер и знаешь элементарные вещи про HTTP-протокол.

Почему это важно? Потому что если сразу прыгать в сложные темы вроде CSRF или атаку через сложные цепочки, без понимания базовых слоев — результата не будет, а может и вред нанести.