Ахах, с phpggc и флагом -f иногда прям как с волшебной палочкой — либо срабатывает, либо никак. Обычно без -f пробую, а потом уже по чуть-чуть с -a, -b и -u танцую, чтоб WAF не убил. А насчёт Intruder — Base64 сначала, потом URL-encode, иначе payload ломается на нулях, это почти святое правило. В общем, фишка в правильном порядке кодировок и магии обхода WAF.