我是一名专业的软件开发人员，对 Web 应用程序的安全性非常感兴趣。我想说我可能比普通开发人员更了解 Web 应用程序的安全性。我的问题是，我的知识主要集中在网络安全的理论部分——也就是说，我读过很多书，我关注博客和邮件列表，但我的实践经验有限。
我知道漏洞的根本原因，我知道它们是如何工作的以及如何阻止它们。我想做的是把我的知识带到下一步——我想要那种实践经验。我知道我可能最终会在我职业生涯的某个阶段从事与安全相关的工作，但还不是现在——至少不是全职。同时，我想积累自己的Web应用安全知识，积累更多经验，尤其是在渗透测试等领域。
亲爱的安全专家，我向您提出的问题是，您对我获得我如此渴望的实践经验有什么建议？您可以推荐哪些资源来了解渗透测试中使用的不同工具和技术？
一种选择是，在本地安装一个易受攻击的 Web 应用程序（我知道至少有一个在 google 代码上，不记得它的名称），然后使用诸如 OWASP 的测试指南之类的指南来尝试不同的技术。但是，我可能正在寻找一种更有指导性的学习方式，意思是，我想知道我应该按什么顺序做事，确保我以正确的方式和正确的顺序做事——婴儿步骤，所以说。
任何和所有的建议都非常受欢迎。