Дело будет долгим...

К каждому GET-запросу, который передаёт данные обработчика, который работает с MySQL, подставляй ', если произойдёт серверная ошибка, значит нашли SQL-иньекцию.

В каждую форму вставляй HTML-код, если он при выводе воспроизведется, то нашли XSS.

Загружай файл с расширением .php, если сохранится в директорию, то можно захватывать сайт исполняя серверные команды. Этот метод имеет множество вариантов загрузки опасного файла, просто писать лень.