Ну ты можешь пентестить веб приложения(сайты), по, может ещё что то.
Это очень разное. Если веб, то стандартно. Знать япы(обязательный набор на мог взгляд python, js, php. Лучше больше), знать различные уязвимости и что они из себя представляют, понимать устройство сетей. И хз еще что. В общем учись, смотри. Там разберёшься