命令执行+反序列化

1. 首先需要考虑回显的问题，因此就很有必要反弹shell。（谷歌浏览器的插件Hack-Tools中就有可直接复制利用的反弹shell语句）
2. 记录数据包中发现存在序列化数据（根据反序列化数据的特征值）的地方，然后观察返回数据是否是对象数据，从这里就可以意识到该接口存在反序列化。
3. 利用ysoserial工具生成Payload（此时生成的只是序列化数据），然后根据情况，一般来说生成的Payload还需要进行base64编码然后上面记录的接口就传输经过base64编码后的数据。