Hola.
Para aprender vulnerabilidades simplemente tienes que saber como funciona el sitio web y comenzar a realizar tus auditorias.
Existen diversos tipos de vulnerabilidades, pueden estar en el mismo sitio web, o puede ser una vulnerabilidad del vps/webhosting donde el sitio se encuentre.
Desde mi punto de vista lo divertido es aprender, no simplemente buscar formas de alterar la seguridad de un sitio sin saber que es lo que haces, por lo tanto, te recomiendo que siempre hagas algo que te sume aprendizajes que te pueden servir en un futuro, y que evites molestar simplemente por molestar sin tener la noción de que está pasando internamente.
Te dejo el siguiente post de @WHK que te puede servir para iniciarte:
https://foro.elhacker.net/nivel_web/iquestcomo_iniciarse_en_la_seguridad_web-t279791.0.html
También te dejo esta otra sección apodada "bugs y exploits" donde se detallan varias fallas conocidas (tanto en servidores como en aplicaciones web) y una breve explicación de las mismas:
https://foro.elhacker.net/bugs_y_exploits-b32.0/

Claro, eso es lo que intento procesar para poder realizar varias cosas que se me vienen a la mente.

---

Un genio @XSStringManolo, me dio una solución por privado que me sirvió bastante, espero que pueda ayudarme con este asunto 

Muy buen post, leí por arriba y está bastante completo. Ahora con más tiempo me pondré a leerlo todo.
 

Tengo 200 archivos de una aplicación web que desarrolle y necesito encriptarlos/ofuscarlos a todos. La mayoria incluye código html/js ¿alguna idea? lo necesito lo antes posible. No tengo mucho tiempo la verdad...

¿A qué te refieres exactamente?
Un logger en una imagen (con canvas por ejemplo)?, quizás entendí mal jajaja.

Buena publicación, muy curioso la verdad.

Hola, hay algo que podrías hacer, sí.
Dentro de lo legal, nada. No estás recibiendo amenazas, no estás recibiendo ningún material ofensivo/sexual o que afecte la privacidad de tu persona.
Simplemente es spam, podrías denunciar el mensaje y dejar que el proovedor de correo se encargue de tomar las acciones (quizás simplemente bloquean el envió de mensajes desde dicho correo).
Por otra parte, lo que podes hacer es enviarle un logger para conseguir ALGO de información.
Obligarlo con ingenieria social a ingresar a un link con iplogger y luego con suerte dar con algún dato que te sirva gracias a la dirección ip.
Por otra parte, con osint quizás puedas ver si tiene alguna que otra red social y poder llegar a ver si el correo es de alguien realmente, o, solamente lo usan para "molestar".

Espero que a alguien le haya servido esto, bien ahí por publicarlo.
Ojala sea igual de fácil desaparecer de internet