ну я тоже, например, начинал с того, что сначала искал(и находил) "логические" уязвимости в онлайн-игрухе, в которую одно время гонял, затем написал простенького бота, потом б0лее сложного - незаметно для себя пересев с элементарной "макросописалки" на делфи, и начав напрямую работать с HTTP, вместо того, чтобы считывать пиксели с экрана

дальше - больше.
так вот оно и пошло, поехало

"don't learn to hack, hack to learn!" (c)

все с чего-то начинают.