вот сейчас порылся и нашел переменную javax.faces.ViewState. я так понял она при каждом запросе к сайту генерит некую переменную, может быть из-за нее не получается настроить брут?