ysoserial (Java deserialization)

java -jar ysoserial.jar CommonsCollections1 "<cmd>" | base64

Ferramenta para gerar payloads de desserialização Java para diversos gadgets.

Quando encontra uma aplicação Java que desserializa dados não confiáveis (ex.: objetos serializados em cookies, parâmetros ou cabeçalhos). ysoserial gera objetos serializados que, ao serem desserializados, executam comandos. Use diferentes gadgets conforme a biblioteca vulnerável (CommonsCollections, Spring, etc.).

Se não souber quais bibliotecas o alvo possui, é um tiro no escuro. Prefira fazer uma análise prévia da aplicação para identificar dependências. Também não use se o sistema tiver um filtro de desserialização (JEP 290) que bloqueia payloads.