Сниферу надо что-то передать (куку, сессию или еще может чего). Хочешь не хочешь, а плюс (+) будет использоватся всегда. Отсюда анализировать надо на + (со всем возможным кодированием)