איך להתחיל עם web application penetration testing למתחילים בסייבר

שמעתי על penetration testing של אפליקציות ווב ונראה מעניין אבל לא יודע מאיפה להתחיל. יש כלים חינמיים לתרגל?