Пробовал, даже куками, кажется.

Пробовал HPP (или HPF, я пока еще не разбираюсь ). В таком виде: id=5 and 1=0 un&id=ion итд, может, конечно, не так составил, но не заработало.

Хорошо забаррикадировались, собаки. На самом деле, насколько я могу судить, хороший, годный waf. Он анализирует строчку REQUEST_URI, я так подозреваю, потому что &asd=union вываливает ошибку тоже.