使用 Fuzztag 一键爆破反序列化链

背景

Yakit 新增的 Yso-Java-Hack 功能可以让我们生成反序列化利用的 payload ，通过图形化的方式简化了生成 payload 的过程，但发包过程由于需要针对不同的目标站点对 payload 进行编码，所以这部分留给了用户，自行通过Yak进行编码和发包。
......还是要写代码。在@rr师傅的建议下，我为 Fuzztag 增加了几个新标签，方便一键爆破利用链。

新增标签

新增了几个标签：yso:exec、yso:urldns、yso:headerecho、yso:bodyexec、headerauth、yso:dnslog，方便大家进行反序列化漏洞的简单手工测试。如果需要更复杂的漏洞利用，可以使用 Yso-Java Hack 生成 hex 格式 payload ，然后使用 hexdec 标签在Fuzztag中调用。

命令执行

yso:exec标签用于命令执行测试，参数是需要执行的命令。这里介绍下命令执行链的分类，可以分为代码执行链和命令执行链，命令执行链是通过反射调用RuntimeExec执行的，而代码执行链可以加载任意java代码执行，所以代码执行链可以实现更多操作。

URLDNS

yso:urldns标签用于反序列化漏洞检测。参数是一个url，其原理是通过URL对象反序列化时触发dns查询。

DNSLOG

yso:dnslog标签用于dns出网的利用链爆破。它有两个参数，第一个参数是一个域名，第二个参数是域名前缀。第一个参数是必填参数，第二个参数是可选的，后面会介绍使用方法。原理上是通过