Лет 10 назад тоже изучал скуль-уязвимости... И просто совет, начните с того как работаех PHP, потом перейдите к работе MySQL и потом ищите уязвимости... Будет проще разбираться...
А как разберетесь, то уже можете искать дыры в Друпале, но сначала почитайте как у него с безопасностью...