代码审计-漏洞复现
漏洞分析采用的是华夏ERP2.3，
查看pom.xml文件发现fastjson版本1.2.55，该版本存在漏洞，利用DNSlog进行验证。
fastjson涉及反序列化的方法有两种，JSON.parseObject()和JSON.parse()，在代码中直接搜索parseObject。
先选几个看起来顺眼的
可控参数为Long id，肯定不行，pass
传入参数为String search，有戏，跟进一下
那么多，慢慢看，可以先选择name，username这样的，前端传入 可控参数几率大一些
search由Map类型传入，跟进一下
继续跟进
search，由Map类型 parameterMap 传入，继续跟进
参数由/{apiName}/list路径下的Constants.SEARCH参数传入，跟进一下
还是参数search，就是路径下/{apiName}/list?search=存在Fastjson漏洞参数传入点
构造恶意请求
并进行URL编码
管他code返回几百，DNSlog收到请求，确认存在Fastjson漏洞
