Когда SQLi в GET-параметрах - палится легко, ты жестко следишь в логах, в POST или же COOKIE - нет, эти запросы в логи не попадают.