посоны, нид хелп. наглухо фильтруется union, select, from. любое наличие одного из операторов приводит к редиректу, урл кодирование не помогло, нормализации нет (uni/**/on), POST фильтруется. хз что можно ещё придумать, но придумать нужно кровь из носа.