С phpggc на Laravel обычно пробую сначала без -f, чтоб сработал __wakeup, а если нет — комбинирую с -a и -b для обхода WAF. По Intruder: сначала Base64, потом URL-encode, иначе нули режут, и payload сливается. Из-за nginx и ModSecurity именно с таким порядком чаще проходит. Ну и дубль через Burp Collaborator для проверки отдачи цепочки — иногда экономит кучу времени.