yakit序列化

原创

白夜
白夜

Quest安全团队

2026年6月8日 22:02
河北

在小说阅读器读本章

去阅读

yakit中的序列是用来应对复杂场景的自动化，实现复杂的数据包逻辑与功能。

序列

Web Fuzzer 序列就是将多个 Web Fuzzer 节点串联起来，使用场景，比如说有个权限绕过，我们需要先访问一个url获取到返回的管理员cookie，然后将得到的值添加为自己的cookie去访问获取信息的接口获取到敏感信息，整个流程一共发送了两个数据包同时从第一个数据包中获取到了一个cookie作为第二个数据包的值，在序列这里可以两这样复杂的行为串联在一起同时实现。

本次练习为pikachu靶场

抓包，点击序列化

将两个数据包拖到一起

注意，在webfuzz的时候，填入爆破字典的变量是{{x(字典名)}}，来进行爆破

序列化则是{{p(变量名)}}来定义，其中变量名在这里

变量名user，字典{{x(user\_top10)}}

然后序列化需要两个数据包

获取token的数据包

登录的数据包

然后进入序列化，添加提取器和变量

把响应粘到左边的框框，然后写一个xpath或者正则的表达式，以确保数据能被正常提取

然后设置字典

设置user字典变量

{{x(user\_top10)}}

然后就可以插入关键字段

user用{{p(user)}}，token用{{p(data\_0)}}，其中data\_0为提取器的名称

然后就可以爆破了

序列的思路大致就是这样，可以用来处理比价复杂的连续的请求，当然，序列也可以用来生成yaml模版保存为插件很是方便。