схема работы проста: в посылаются гет и пост запросы, затем парсится ответ на наличие ошибок.. по ошибкам выявляется тип уязвимости...результат в лог

и как уже не раз сказано выше на php лучше такого не делать, потмоу что:
1) ОЧЕНЬ низкая скорость
2) поскольку это будет онлайн сервисом будет ОГРОМНАЯ нагрузка не сервер (одним серваком тут далеко не обойдёшься)

я бы посоветовал подучить java и писать на ней