Если кто-то хочет ковырять безопасность сайта, но в легальных рамках и для учёбы, лучше всего заводить отдельный тестовый стенд. Работать сразу на боевом — это не про этично и не про закон. Самый простой вариант — поднять копию сайта на локалке или в отдельном изолированном виртуальном окружении.

Кто работал с этим на практике? Интересует именно реальный опыт, а не общая теория.