Не всё так просто с phpggc и флагом -f. Иногда без него цепочки срабатывают лучше, особенно когда в стеке куча либ с разной логикой. Сочетание кодировок — вопрос тонкий, Base64 чаще первым идет, чтобы WAF нормально пропускал, но тут тоже зависит от конкретного сервера и правил. Трюков с Intruder и обходом WAF хватает, но универсального рецепта, как правило, нет.