АртемЪ

В общем. Хочется проверить свои навыки, но в тюрьму не хочется : )

Поставьте себе на виртуалку какую-нибудь популярную CMS и ломайте на здоровье.

Нет, это не варианты.

Как грамотно уведомить владельца сайта о наличии уязвимости?

Просто берете и уведомляете. Уведомлять не запрещено.

Просто не ждите что вас поблагодарят, хотя возможно и такое, и будьте готовы к негативной реакции владельца сайта. А так же в возможных обвинениях.

Правда непонятно зачем оно вам надо...

Взломать можно все.
Если говорить о перехвате пароля - в данном случае это невозможно, в открытом виде пароль по сети не передается.

Нарушаете во всех случаях, если это явно не разрешено вам владельцем сайта.
Т.е если у вас есть разрешение от владельца - никакого нарушения нет, у вас правомерный доступ.
Если разрешения нет - доступ неправомерный, статья 272 УК со всеми вытекающими.

Разрешение может быть опубликовано в любой форме. Хотя если возникнут вопросы, и придется доказывать свою правоту, желательно иметь разрешение в письменной форме.