Хотел бы добавить, что существует такая штука, как DVWA. Что-то вроде тренировачной площадки хакера. 3 уровня сложнасти для каждого популярного типа уязвимостей.

sql

xss

lfi\rfi

code exec

и тд.