Te compras 100 libros. Te los chapas durante años. Montas un laboratorio y descargas apps y webs y las cuelgas en red local. Aplicas los conocimientos aprendidos y sigues buscando info y preguntando dudas. Te relacionas con la comunidad, te pones al tanto de los ultimos bugs. A partir de ahí buscas trabajo, montas tu organización, te unes a un equipo o te dedicas a algo concreto...
Hay cursos, pero más que nada es una tragadera de dinero. Son caros y no valen para nada salvo un par.
La cantidad de material que hay online no tiene ni puto sentido. Se encuentran miles de vulnerabilidades a diario, sobre todo en software de mediana empresa.
Yo personalmente encontre una empresa que trabajaba para un gobierno diseñando paginas web. Le dejo un buen agujero para acceder a las bases de datos de todas las webs. Encontre una vulnerabilidad en una, le seguí el rastro a la empresa y trabajaba tambien internacionalmente. En una de las paginas mas importantes se podia subir una shell remota a traves de una vulnerabilidad relacionada con el nombre del usuario que podias elegir al registrarte. Se podia acceder a 3 servidores del gobierno con programas y a un servidor con más de 15 webs alojadas. Desde una tienda de diamantes a un centro comercial. No se necesitan grandes conocimientos para encontrar estos fallos. Si eres un individuo está mal visto. Pero si le dices que tu spider encontró una intrusion mediante una vulnerabilidad, entoces te preguntan, como lo arreglo? A lo que le puedes decir que es complicado y que deberías dedicar recursos y tal. A lo que te preguntan, pero sabes hacerlo?

Tambien puede ser que encuentres un fallo en una emoresa importante y te contraten, como se ha dado el caso con algun integrante del foro.