Vereinfachtes Chinesisch | English

Gpt-Agreement-Payment

ChatGPT Plus / Team – End-to-End-Replay-Tool für Abonnementprotokolle: Vom Paket-Sniffing rückwärts durch die gesamte Kette Stripe Checkout → PayPal / GoPay / QRIS → ChatGPT manuelle Freigabe → Codex OAuth + PKCE und als lauffähigen Client implementiert. Enthält einen von Grund auf neu implementierten hCaptcha-Bildsolver, PayPal-Risiko-Frühabbruch-Zweige und eine Reihe empirischer Anti-Fraud-Daten aus echten Läufen.

Vom Autor betriebener API-vermittlungsdienst

_{👆 Klicken Sie auf das Bild, um lukyface zu besuchen · Einladungscode 9ipF · Diskussionsgruppe 1104565621}

[!CAUTION] Die Nutzung dieses Projekts gilt als Zustimmung zu allen Bedingungen von NOTICE. Das Projekt wird „AS IS“ bereitgestellt, ohne jegliche Gewährleistung, der Betreuer übernimmt keinerlei Haftung. Nur für von Ihnen kontrollierte Systeme / legale CTFs / autorisierte Bug-Bounty-In-Scope-Assets / Sicherheitsforschung. Streng verboten sind Betrug, Zahlungsumgehung, Massenkontoerstellung zum Weiterverkauf, Verstoß gegen ToS Dritter oder nicht autorisierte Ziele. Die gesamte rechtliche Verantwortung liegt beim Benutzer. Akzeptieren Sie die Bedingungen nicht, dann nutzen Sie das Projekt nicht.

Was ist das?

Unterstützt vier Abonnement-Aktivierungspfade:

Mit einem sauberen Proxy + einem Zahlungsnachweis erhalten Sie nach Abschluss des Befehls einen OAuth refresh_token.

Vier beachtenswerte Punkte:

• N-Worker-Parallelität + phone-lock OTP-Kritische-Sektion-Mutex (webui/backend/parallel_runner.py). Mehrere Worker auf derselben Telefonnummer serialisieren die OTP-Phase mit Advisory Lock, pre/post-OTP voll parallel; DB atomic claim + Platzhalter-INSERT verhindert, dass mehrere Worker denselben promo_link / dasselbe inventory-Email beanspruchen. Frontend konfiguriert Telefon-Pool (M Zeilen) + Parallelität N (kann > M sein), Worker werden per i % M Round-Robin auf den Telefon-Pool abgebildet.
• hCaptcha-Bildsolver (CTF-pay/hcaptcha_auto_solver.py, ca. 4000 Zeilen, eigenständig nutzbar). VLM-Hauptpfad + CLIP/OpenCV-heuristischer Fallback + Playwright-Mensch-Aktionssynthese, deckt 12 bekannte hCaptcha-Aufgabentypen ab.
• Empirische Anti-Fraud-Daten. IP-String-präzise Fingerabdrücke, Batched-Delay-Sperren, Probe-Ebene vs. Ban-Ebene getrennt. Stichprobe mit 45 Konten und ca. 2% Überlebensrate über 24 Stunden, einschließlich Korrekturmodell. Siehe docs/anti-fraud-research.md.
• Zwölf-Fach-Selbstheilungs-Daemon (pipeline.py::daemon()). Webshare-API zum automatischen IP-Wechsel (Fallback auf /tmp/gost_last.json Cache bei Webshare-Fluktuation), CF-DNS-Kontingentbereinigung, tmpfs-Waisen-Recycling, gost-Relay-Watchdog, DataDome-Slider-Autodrag. Ziel: unbeaufsichtigter Betrieb über mehrere Wochen.

Architektur

flowchart LR
    A[pipeline.py / webui] --> B[CTF-reg/<br/>browser_register.py<br/>Camoufox + Turnstile]
    B --> C[CTF-pay/card.py<br/>Stripe Checkout Replay]
    C --> D{Zahlungspfad}
    D -->|paypal| E1[Camoufox / Node RPA<br/>PayPal billing agreement]
    D -->|gopay| E2[Midtrans linking<br/>+ WhatsApp OTP]
    D -->|qris| E3[QRIS QR<br/>+ Remote-Vorschau]
    E1 --> F[Stripe poll<br/>state=succeeded]
    E2 --> F
    E3 --> F
    F --> G[Camoufox zweites Login<br/>Codex OAuth + PKCE]
    G --> H[refresh_token<br/>output/webui.db &#40;SQLite&#41;]

Detaillierte Subsystem-Aufteilung, Dateizuordnungen, Protokollketten-Details siehe docs/architecture.md.

Aktueller Stand & Voraussetzungen

Um ehrlich zu sein, dies ist kein „Out-of-the-Box"-Tool. Um die gesamte Kette zum Laufen zu bringen, benötigen Sie mindestens:

• Ein tatsächlich anmeldbares PayPal-Konto (alternativ PayPal Guest Checkout-Protokoll-Autorisierungsablauf)
• Einen Proxy mit Ausgang in EU / US / ID (je nach gewähltem Zahlungspfad regionsspezifisch)
• Eine Cloudflare-Zone (optional, für Catch-All-Subdomain-Registrierungs-E-Mail; Outlook-Code-Empfangspool wird ebenfalls unterstützt)
• Einen Linux-Rechner, der Camoufox + Playwright ausführen kann (ca. 5 GB Festplatte + 2 GB RAM)
• (PayPal Guest Checkout erforderlich) Einen SMS-Empfangs-Gateway-API-Key für die PayPal-Registrierung
• (GoPay erforderlich) Eine WhatsApp-Online-Nummer + WhatsApp-Code-Empfangsdienst
• (Optional) Einen OpenAI-kompatiblen VLM-API-Key für hCaptcha-Lösung; bei Heim-/Pseudobreitband-Ausgang wird hCaptcha normalerweise nicht getriggert, ohne VLM wird auf CLIP zurückgegriffen
• (Optional) Einen Captcha-Plattform-API-Key, der das createTask/getTaskResult-Protokoll unterstützt, als Fallback für Browser-Passiv-Captchas

Der erste vollständige Durchlauf dauert normalerweise 1–3 Stunden, um die Konfiguration einzurichten. Im Daemon-Modus stabilisiert sich eine einzelne Pipeline auf etwa 5 Minuten; im parallelen Modus mit zwei Workern auf derselben Telefonnummer etwa 3 Minuten für zwei Konten.

Der Code ist forschungsorientiert und nach Protokollphasen angeordnet, ohne auf maximale Lesbarkeit zu achten.

Erste Schritte

Anfängerpfad: WebUI-Konfigurationsassistent (empfohlen)

Reduziert die manuelle Konfiguration von 1–3 Stunden auf ca. 15 Minuten. 14-Schritte-Wizard + Live-Preflight-Selbsttest + eingebauter Laufzeit-Controller (SSE-Log-Stream + Parallelitäts-Panel), erzeugt zwei Konfigurationen: CTF-pay/config.auto.json + CTF-reg/config.paypal-proxy.json.

Docker-Bereitstellung (schnellster Weg, Ein-Befehl-Start)

Das Repository enthält eine Dockerfile (Multi-Stage-Build: Node-Frontend + Ubuntu 24.04 Runtime) + docker-compose.yml, die alle Systemabhängigkeiten / Playwright Chromium+Firefox / Camoufox / gost SOCKS5-Relay / Node QuickJS (für OpenAI Sentinel) in das Image einbaut. Der Git-Working-Tree auf dem Host dient als alleinige echte Quelle, das gesamte Repository wird per Bind-Mount in den Container eingebunden. Nach Änderungen an Python-Code genügt docker compose restart für sofortige Wirkung, ohne Neubuild.

git clone https://github.com/DanOps-1/Gpt-Agreement-Payment
cd Gpt-Agreement-Payment
docker compose up -d --build
# Standardmäßig auf 127.0.0.1:8765 (Host-Port) hörbereit, Browser öffnet http://127.0.0.1:8765/
# Erster Aufruf leitet zu /setup um, um Administrator zu erstellen

Häufige Wartungsbefehle:

# Live-Logs
docker compose logs -f webui

# Debug im Container (pip list / Tests ausführen / SQLite inspizieren)
docker compose exec webui bash

# Nach Python-Code-Änderungen uvicorn neu laden (Bind-Mount hat Quellcode synchronisiert, nur Prozess neustarten)
docker compose restart webui

# Nach Frontend-Code-Änderungen dist im Container neu bauen
docker compose exec webui sh -c "cd /app/webui/frontend && npm run build"

# Vollständig stoppen + Container löschen
docker compose down

# Image aktualisieren (neue Basis / Python-Pakete upgraden)
docker compose build --no-cache && docker compose up -d

Datenpersistenz: output/ ist ein Host-Verzeichnis per Bind-Mount, enthält webui.db (SQLite) + Ergebnisse/Logs, vom Host sichtbar und sicherbar. webui/frontend/dist und node_modules liegen in anonymen Volumes, die von der gebackten Image-Version überschrieben werden (nicht von leeren Host-Verzeichnissen).

Öffentlicher Zugriff (nginx Reverse Proxy + HTTPS) siehe webui/README.md. Standardmäßig bindet docker-compose.yml den Port an 127.0.0.1:8765. Für direkte 0.0.0.0-Exposition ändern Sie den ports-Abschnitt (nicht empfohlen, ohne vorgeschaltete Authentifizierung).

Manuelle Installation (ohne Docker)

# 1. Backend-Abhängigkeiten
pip install -r webui/requirements.txt

# 2. Frontend-Build (einmalig)
cd webui/frontend && pnpm i && pnpm build && cd ../..

# 3. Start
python -m webui.server
# Browser öffnet http://127.0.0.1:8765, erster Aufruf leitet zu /setup um, um Administrator zu erstellen

Unterstützt Einzellauf (PayPal billing agreement / GoPay / QRIS / Promo-Longlink) + parallelen Modus (Frontend konfiguriert Telefon-Pool + Parallelität N). Öffentlicher Zugriff über nginx Reverse Proxy siehe webui/README.md.

Installation

git clone https://github.com/DanOps-1/Gpt-Agreement-Payment
cd Gpt-Agreement-Payment
pip install requests curl_cffi playwright camoufox browserforge mitmproxy pybase64
playwright install firefox
camoufox fetch

Die ML-Abhängigkeiten des hCaptcha-Solvers (torch / transformers / opencv) werden separat in einer venv empfohlen, ca. 4 GB:

python -m venv ~/.venvs/ctfml
~/.venvs/ctfml/bin/pip install torch transformers opencv-python pillow numpy

Vollständige Abhängigkeitsliste und Systempakete siehe docs/installation.md.

Konfiguration

Vorlagen kopieren, Werte eintragen:

cp CTF-pay/config.paypal.example.json     CTF-pay/config.paypal.json
cp CTF-reg/config.paypal-proxy.example.json   CTF-reg/config.paypal-proxy.json

Bedeutung der Felder und Schema siehe docs/configuration.md. Bei Docker-Bereitstellung bootstrapt der Entrypoint beim ersten Start automatisch diese beiden Konfigurationen; nach Änderungen auf dem Host docker compose restart webui ausführen, um sie zu aktivieren.

Ausführen

Docker-Benutzer können einfach die WebUI verwenden. Die folgenden CLI-Befehle sind für lokale Native-Benutzer; für Docker führen Sie zuerst docker compose exec webui bash aus, um in den Container zu gelangen.

# 1) Einmaliger vollständiger Ablauf (PayPal billing agreement)
xvfb-run -a python pipeline.py --config CTF-pay/config.paypal.json --paypal

# 2) Plus-Protokollautorisierung + Promo-Longlink (über PayPal Guest Checkout)
xvfb-run -a python scripts/no_card_paypal_plus.py \
    --config CTF-pay/config.paypal.json --paypal-node-rpa \
    --phone <Ihre Telefonnummer> --otp-timeout 240

# 3) N Worker parallel (auch mit derselben Telefonnummer möglich, OTP-Phase wird per Advisory Lock automatisch serialisiert)
# Empfohlen: Start über WebUI: Parallelen Modus wählen, Telefon-Pool + Parallelität N im Frontend konfigurieren

# 4) Kontinuierliche Wartung des Auffüll-Pools
xvfb-run -a python pipeline.py --config CTF-pay/config.paypal.json --paypal --daemon

Unterschiede und Parameter der vier Betriebsmodi (Einmallauf / Stapellauf / self-dealer / Daemon) + Parallelmodus siehe docs/operating-modes.md.

Dokumentation

Bekannte Einschränkungen

• PayPal billing agreement nur in der EU möglich. Stripe-Kontobeschränkung, nur Bestellungen mit EU-Identität (z.B. IE) möglich.
• PayPal Guest Checkout-Pfad ist mehrfachen Risikokontrollen ausgesetzt. INSTRUMENT_SHARING_LIMIT_EXCEEDED / CC_LINKED_TO_FULL_ACCOUNT / CREATE_CARD_ACCOUNT_CANDIDATE_VALIDATION_ERROR / DataDome captcha etc. können ausgelöst werden; das Skript hat für jeden bekannten Fehler einen Frühabbruch + automatischen Wiederholungszweig.
• Überlebensrate am Tag nach der Massenregistrierung ca. 2%. Dies ist auf den Batch-Verknüpfungseffekt der ChatGPT-Anti-Fraud-Mechanismen zurückzuführen, nicht auf ein Tool-Problem. Siehe docs/anti-fraud-research.md.
• Kostenloser Konto-Pfad derzeit nicht funktionsfähig. OpenAI hat den zweiten Login-Vorgang für kostenlose Konten geändert, Umleitung zu /add-phone ohne echte Telefonnummer nicht umgehbar; der access_token des ChatGPT-Web-Clients passt nicht zum Codex-API-Audience.
• Stripe-Runtime-Fingerabdruck driftet. runtime.version / js_checksum / rv_timestamp müssen etwa alle paar Wochen neu abgeglichen werden.
• hCaptcha-Aufgabentypen nicht vollständig abgedeckt. Aktuell 12 gängige Typen; bei nicht abgedeckten Typen wird der VLM direkt zur Koordinatenausgabe als Fallback verwendet, ohne Garantie für Erfolgsquote.

Beiträge

Wertvollste Beiträge nach Einfluss sortiert:

1. Neuer hCaptcha-Aufgabentyp-Solver
2. Protokollanpassung bei Breaking Changes von Stripe / PayPal / OpenAI
3. Neue Fehlermodi aus der Praxis für Daemon-Selbstheilungszweige (mit Logs)
4. Ergänzung empirischer Anti-Fraud-Daten (Anonymisierung gemäß vorhandenem Stil)
5. Multi-IP-Pool / Proxy-Rotation-Implementierung, um Parallelität von der Einschränkung auf eine einzelne IP zu befreien
6. Dokumentation vervollständigen / übersetzen

⚠️ Der Betreuer kann PRs nicht manuell reproduzieren. Stellen Sie daher bei PRs bitte eine detaillierte Beschreibung + Durchlauf-Nachweise gemäß der PR-Vorlage bereit (je nach Änderungstyp unterschiedliche Anforderungen: Solver-Typ benötigt Runden-JSON, Protokollanpassung benötigt Paketvergleich, Daemon-Selbstheilung benötigt Auslöse-Logs und Wiederherstellungs-Logs). Fehlen Nachweise, wird der PR ohne Erklärung geschlossen.

Vollständiger Workflow, Codestil, Anonymisierungsliste für Forschungsbeiträge siehe CONTRIBUTING.md. Gemeinschaftsrichtlinien siehe CODE_OF_CONDUCT.md. Sicherheitsprobleme nicht öffentlich als Issue melden, siehe SECURITY.md.

Danksagungen

Einige Kernabhängigkeiten der Toolkette:

• Camoufox – Antidetect-Firefox-Build, Grundlage der gesamten Browser-Automatisierungsschicht
• mitmproxy – Protokoll-Paketerfassung
• Playwright – Browser-Automation
• curl_cffi – TLS-Fingerabdruck-Simulation
• OpenAI CLIP – Visuelles Grundgerüst des heuristischen Solvers
• gost – SOCKS5-Relay

Code-Beitragende

Danke an folgende Personen für Code-Beiträge (sortiert nach PR-Datum):

• @Lium-7768 – #12 Align GoPay step visibility to hide 06 and 13
• @DragonBaiMo – #15 Algorithmisch generierter Persona-Generator + E-Mail-Name gleichen Ursprungs
• @laochendeai – #21 detect blocking challenge pages

Community

Besonderer Dank an die LINUX DO Community – die früheste Feedback-Quelle, Tester und Protokolländerungsmelder dieses Projekts kommen von hier.

Wertschätzung

Wenn dieses Projekt für Sie hilfreich ist, laden Sie den Autor gerne auf einen Kaffee ein ☕

Spenden-Danksagung

Danke für die Unterstützung der folgenden Personen (Reihenfolge ohne Wertung):

Die Geste ist wertvoller als der Betrag – jede Unterstützung ist eine Motivation, das Projekt weiter zu pflegen 🙏

Star History

Haftungsausschluss

[!IMPORTANT] Die Nutzung dieses Projekts gilt als vollständiges Lesen, vollständiges Verstehen und ausdrückliche Annahme aller Bedingungen von NOTICE. Wenn Sie nicht zustimmen können – nutzen Sie dieses Projekt nicht, löschen Sie alle Kopien.

Die Lizenz ist MIT, aber die Lizenz allein ist nicht die vollständige Haftungsfreistellung. Die vollständigen Haftungsausschlussbedingungen finden Sie in NOTICE, nachfolgend eine wichtige Zusammenfassung:

Dieses Projekt wird „WIE BESEHEN (AS IS)" bereitgestellt, ohne jegliche Gewährleistung. Dies umfasst, ist aber nicht beschränkt auf, die stillschweigende Gewährleistung der Marktgängigkeit, der Eignung für einen bestimmten Zweck, der Nichtverletzung von Rechten Dritter, der Sicherheit, der Stabilität und der dauerhaften Kompatibilität mit Diensten Dritter. Sie tragen das alleinige Risiko bei der Nutzung dieses Projekts.

Nur im autorisierten Rahmen nutzbar. Erlaubt: Systeme, die Sie besitzen, legale CTFs, In-Scope-Assets autorisierter Bug-Bounty-Programme, Sicherheitsforschung. Verboten: Betrug, Zahlungsumgehung, Massenkontoerstellung zum Weiterverkauf, Verstoß gegen die ToS von Drittplattformen, nicht autorisierte Ziele.

Die rechtliche Verantwortung liegt vollständig beim Benutzer. Dies umfasst, ist aber nicht beschränkt auf, Kontosperrungen, Zahlungsverluste, strafrechtliche Haftung, zivilrechtliche Schadensersatzforderungen, verwaltungsrechtliche Sanktionen, Ansprüche Dritter, Reputationsverluste, geschäftliche Verluste. Möglicherweise anwendbare Gesetze umfassen den US-amerikanischen CFAA, die EU-DSGVO, das britische CMA, die chinesischen Strafgesetzartikel 285/286/287 etc. Einzelheiten siehe Abschnitt 4 von NOTICE.

Der Betreuer ist nicht verpflichtet, Issues zu beantworten, PRs zu prüfen, Fehler zu beheben, die Nutzbarkeit zu wahren oder Protokollanpassungen vorzunehmen. Der Betreuer behält sich das Recht vor, dieses Projekt jederzeit zu archivieren, zu löschen, umzubenennen oder die Wartung einzustellen, ohne vorherige Ankündigung.

Dieses Projekt gehört nicht zu, ist nicht verbunden mit, wird nicht autorisiert von und wird nicht befürwortet von OpenAI, Stripe, PayPal, Cloudflare, hCaptcha oder einem der genannten Drittanbieterdienste. Alle Marken sind Eigentum ihrer jeweiligen Inhaber.

Wenn Sie sich nicht sicher sind, ob die Nutzung rechtmäßig ist – führen Sie es nicht aus. Fragen Sie zuerst einen Anwalt oder sprechen Sie mit dem Sicherheitsteam der Zielplattform.