Имеется опыт создания онлайн-сканера уязвимостей (XSS, SQL-inj) на ASP.NET.

Первая причина, по которой пришлось отставить PHP – отсутствие поддержки многопоточности и, как следствие, высокая нагрузка на веб-сервер и долгая обработка запросов от клиентов.

Как показывает практика, в данном случае лучше использовать компилируемые языки программирования, в силу скорости работы приложений.

А кто-то активно "молится" на логи акунетикса и макспатрола и верит в достоверность полученных данных . За примерами ходить не надо - достаточно ознакомиться с комментариями в объявлении Античатовского аудита.