ysoserial (Java deserialization)

java -jar ysoserial.jar CommonsCollections1 "<cmd>" | base64

Herramienta para generar payloads de deserialización Java para diversos gadgets.

Cuando encuentras una aplicación Java que deserializa datos no confiables (ej. objetos serializados en cookies, parámetros, o cabeceras). ysoserial genera objetos serializados que, al ser deserializados, ejecutan comandos. Usa diferentes gadgets según la librería vulnerable (CommonsCollections, Spring, etc.).

Si no sabes qué librerías tiene el objetivo, es un tiro al aire. Prefiere hacer un análisis previo de la aplicación para identificar dependencias. Tampoco si el sistema tiene un deserialization filter (JEP 290) que bloquea payloads.