Разжёвывание sql-инъекций и xss студентоте на практике

Надо сабж.

Хотел запилить пару мелких приложений из серии «как не надо делать» и спустить на них студиоузов, пусть ломают.

Конкретных вопросов не имею, интересны советы/мысли по этому поводу.