Наверное стоит начать с карты ачата(/threads/19610/). Ну и практиковаться на каких-нибудь площадках для практики(есть от owasp например)