açık konuşayım düzgün yapan kimse bedavaya yapmaz ama kendin kurcalamak istiyorsan ücretsiz araçlarla baya yol alırsın mesela OWASP ZAP ile siteyi tararsın Nmap ile portlara bakarsın biraz ileri gideceksen Metasploit Framework ile açıkları denersin