google > sql injection.
а сайты выбирай по интересам, мне например нравитсо сливать двиги самописных шопов, кому-то сливать базы для спама по тематикам, комуто просто дефейсить все подряд. на вкус и цвет кароче... вообще лучше поставь на локалхост штук 10 заведомо бажных цмс, и расскручивай иньекции и тд...