Помню, как ysoserial вызывал у меня почти религиозный трепет — такая простая штука, а работает как часы. Сейчас уже не так страшно, просто перебираешь цепочки, как запасной выход из положения. PHP с phpggc и этими флагами — вечная головная боль, особенно когда WAF режет нули. Главное — не забывать про метки в Burp Intruder, правильный порядок кодировок реально помогает не сливать payload раньше времени.