если изменить поле Host в запросе то веб-сервер просто не узнает какому из виртуальных хостов пришел запрос. То есть до скрипта он уже вряд ли дойдет