Русский | English

Gpt-Agreement-Payment

Инструмент сквозного воспроизведения процесса подписки ChatGPT Plus / Team: от перехвата трафика до восстановления всей цепочки Stripe Checkout → PayPal / GoPay / QRIS → ChatGPT manual-approval → Codex OAuth + PKCE и реализации в виде работающего клиента. Включает написанный с нуля визуальный решатель hCaptcha, ветку досрочного выхода при срабатывании антифрод-защиты PayPal и набор эмпирических данных о механизмах антифрода, собранных в ходе реальных запусков.

Прокси-шлюз API от автора

_{👆 Нажмите на изображение, чтобы перейти на lukyface · Пригласительный код 9ipF · Чат 1104565621}

[!CAUTION] Использование данного проекта означает ваше согласие со всеми положениями NOTICE. Проект предоставляется «как есть» (AS IS), без каких-либо гарантий; автор не несёт ответственности ни за что. Разрешено использование только на принадлежащих вам системах / в рамках легальных CTF / авторизованных программах bug bounty in-scope активов / исследований в области безопасности. Категорически запрещено использование для мошенничества, уклонения от оплаты, массового создания аккаунтов с целью перепродажи, нарушения ToS третьих сторон, несанкционированных целей. Вся юридическая ответственность лежит на пользователе. Если вы не согласны с условиями — не используйте.

Что это такое

Поддерживаются четыре пути оформления подписки:

При наличии чистого прокси и платёжных реквизитов после выполнения команды вы получаете OAuth refresh_token.

Четыре аспекта, заслуживающих внимания:

• N-воркер конкурентность + критическая секция OTP с блокировкой по телефону (webui/backend/parallel_runner.py). Несколько воркеров на одном телефоне используют advisory lock для последовательного выполнения этапа OTP; этапы до и после OTP выполняются полностью параллельно. Атомарное получение записи из БД + INSERT с заполнителем для предотвращения конкуренции воркеров за один promo_link / email из инвентаря. На фронтенде настраивается пул телефонов (M строк) + количество воркеров N (может быть больше M); воркеры циклически отображаются на пул телефонов по i % M.
• Визуальный решатель hCaptcha (CTF-pay/hcaptcha_auto_solver.py, ~4000 строк, независимо используемый). Основной путь через VLM + эвристический fallback на CLIP/OpenCV + синтез человеческих движений в Playwright, охватывает 12 известных типов заданий hCaptcha.
• Эмпирические данные по механизмам антифрода. Точное посимвольное фингерпринтирование IP, задержанная блокировка батчей, разделение слоя probe и слоя ban. Практические данные по 45 аккаунтам с выживаемостью ~2% за 24 часа, включая корректировочную модель. Подробности в docs/anti-fraud-research.md.
• Двенадцатиканальный демон самовосстановления (pipeline.py::daemon()). Автоматическая смена IP через Webshare API (при флуктуациях webshare fallback на кеш /tmp/gost_last.json), очистка квот DNS Cloudflare, сбор мусора orphan tmpfs, сторожевой таймер gost, автоматическое перетаскивание слайдера DataDome. Цель — работа без присмотра в течение нескольких недель.

Архитектура

flowchart LR
    A[pipeline.py / webui] --> B[CTF-reg/<br/>browser_register.py<br/>Camoufox + Turnstile]
    B --> C[CTF-pay/card.py<br/>Stripe Checkout 重放]
    C --> D{支付路径}
    D -->|paypal| E1[Camoufox / Node RPA<br/>PayPal billing agreement]
    D -->|gopay| E2[Midtrans linking<br/>+ WhatsApp OTP]
    D -->|qris| E3[QRIS QR<br/>+ 远端预览]
    E1 --> F[Stripe poll<br/>state=succeeded]
    E2 --> F
    E3 --> F
    F --> G[Camoufox 二次登录<br/>Codex OAuth + PKCE]
    G --> H[refresh_token<br/>output/webui.db &#40;SQLite&#41;]

Детали подсистем, распределение файлов, особенности протокольной цепочки — в docs/architecture.md.

Текущее состояние и требования

Честно говоря, это не инструмент, готовый к использованию «из коробки». Для успешного прохождения всей цепочки как минимум понадобятся:

• Реальная, доступная для входа учётная запись PayPal (также можно пройти по пути авторизации протокола через PayPal guest checkout)
• Прокси с выходом в регионе EU / US / ID (выбирается в зависимости от выбранного пути оплаты)
• Зона Cloudflare (опционально, для создания почтовых ящиков с catch-all поддоменом; также поддерживается пул приёма кодов Outlook)
• Linux, способный запускать Camoufox + Playwright (~5 ГБ диска + 2 ГБ ОЗУ)
• (Обязательно для PayPal guest checkout) API-ключ SMS-шлюза для получения кодов, используется при регистрации PayPal
• (Обязательно для GoPay) Онлайн-номер WhatsApp + сервис приёма кодов WhatsApp
• (Опционально) API-ключ от VLM, совместимого с OpenAI, для решения hCaptcha; при выходе через домашние/псевдо-домашние IP обычно hCaptcha не срабатывает, без VLM будет fallback на CLIP
• (Опционально) API-ключ от капча-сервиса, совместимого с протоколом createTask/getTaskResult, как последний резерв для пассивной капчи в браузере

Первое полное прохождение обычно занимает 1–3 часа на настройку конфигурации. После стабилизации демона однократный pipeline занимает около 5 минут; в конкурентном режиме с одним телефоном и 2 воркерами — около 3 минут на получение 2 аккаунтов.

Код носит исследовательский характер, упорядочен по этапам протокола и не претендует на максимальную читаемость.

Начало работы

Путь для новичков: мастер конфигурации webui (рекомендуется)

Сокращает ручную настройку с 1–3 часов до ~15 минут. 14-шаговый мастер + проверка preflight в реальном времени + встроенный контроллер запуска (SSE-лог + панель конкурентности) генерируют два файла конфигурации: CTF-pay/config.auto.json и CTF-reg/config.paypal-proxy.json.

Развёртывание через Docker (самый быстрый путь, запуск одной командой)

Репозиторий содержит Dockerfile (многостадийная сборка: node frontend + ubuntu 24.04 runtime) + docker-compose.yml, всё включено: все системные зависимости / Playwright Chromium+Firefox / Camoufox / gost SOCKS5-relay / Node QuickJS (для OpenAI Sentinel). Git working tree на хосте выступает единственным источником правды; весь репозиторий монтируется bind mount в контейнер. При изменении Python-кода достаточно docker compose restart — не нужно пересобирать образ.

git clone https://github.com/DanOps-1/Gpt-Agreement-Payment
cd Gpt-Agreement-Payment
docker compose up -d --build
# По умолчанию слушает 127.0.0.1:8765 (порт хоста). В браузере открыть http://127.0.0.1:8765/
# При первом посещении переадресует на /setup для создания администратора

Полезные команды для обслуживания:

# Просмотр логов в реальном времени
docker compose logs -f webui

# Вход в контейнер для отладки (pip list / тесты / инспектирование SQLite)
docker compose exec webui bash

# После изменения Python-кода — запустить перезагрузку uvicorn (исходники уже синхронизированы через bind mount, нужно только перезапустить процесс)
docker compose restart webui

# После изменения фронтенд-кода — пересобрать dist внутри контейнера
docker compose exec webui sh -c "cd /app/webui/frontend && npm run build"

# Полная остановка + удаление контейнеров
docker compose down

# Обновление образа (загрузка нового base / обновление Python-пакетов)
docker compose build --no-cache && docker compose up -d

Данные сохраняются: output/ — это каталог хоста, смонтированный через bind mount. Внутри находится webui.db (SQLite) + результаты запусков / логи, доступные на хосте для резервного копирования. webui/frontend/dist и node_modules используют anonymous volume, перекрываемые версией, встроенной в образ (не перезаписываются пустым каталогом хоста).

Доступ из интернета (nginx reverse proxy + HTTPS) — см. webui/README.md. По умолчанию docker-compose.yml привязывает порт к 127.0.0.1:8765; чтобы выставить напрямую на 0.0.0.0, измените секцию ports (не рекомендуется — нет дополнительного слоя аутентификации).

Ручная установка (без Docker)

# 1. Зависимости бэкенда
pip install -r webui/requirements.txt

# 2. Сборка фронтенда (однократно)
cd webui/frontend && pnpm i && pnpm build && cd ../..

# 3. Запуск
python -m webui.server
# Открыть в браузере http://127.0.0.1:8765, при первом посещении перейти на /setup для создания администратора

Поддерживаются одиночный запуск (PayPal billing agreement / GoPay / QRIS / промо-длинная ссылка) + конкурентный режим (на фронтенде настраивается пул телефонов + количество воркеров N). Доступ из интернета через nginx reverse proxy — см. webui/README.md.

Установка

git clone https://github.com/DanOps-1/Gpt-Agreement-Payment
cd Gpt-Agreement-Payment
pip install requests curl_cffi playwright camoufox browserforge mitmproxy pybase64
playwright install firefox
camoufox fetch

ML-зависимости для решателя hCaptcha (torch / transformers / opencv) рекомендуется устанавливать отдельно в venv, около 4 ГБ:

python -m venv ~/.venvs/ctfml
~/.venvs/ctfml/bin/pip install torch transformers opencv-python pillow numpy

Полный список зависимостей и системных пакетов — в docs/installation.md.

Конфигурация

Скопируйте шаблоны и заполните значения:

cp CTF-pay/config.paypal.example.json     CTF-pay/config.paypal.json
cp CTF-reg/config.paypal-proxy.example.json   CTF-reg/config.paypal-proxy.json

Описание полей и схемы — в docs/configuration.md. При развёртывании через Docker entrypoint при первом запуске автоматически создаёт эти два конфига; после редактирования на хосте выполните docker compose restart webui для применения изменений.

Запуск

Пользователям Docker достаточно использовать webui. Следующие CLI-команды предназначены для тех, кто запускает локально; в Docker для выполнения тех же команд сначала войдите в контейнер: docker compose exec webui bash.

# 1) Однократный полный процесс (PayPal billing agreement)
xvfb-run -a python pipeline.py --config CTF-pay/config.paypal.json --paypal

# 2) Авторизация протокола Plus + промо-длинная ссылка (через PayPal guest checkout)
xvfb-run -a python scripts/no_card_paypal_plus.py \
    --config CTF-pay/config.paypal.json --paypal-node-rpa \
    --phone <ваш номер> --otp-timeout 240

# 3) N воркеров конкурентно (даже на одном телефоне — этап OTP будет автоматически поставлен в очередь через advisory lock)
# Рекомендуется запускать через webui: выберите конкурентный режим, настройте пул телефонов и количество воркеров N.

# 4) Непрерывное пополнение пула аккаунтов
xvfb-run -a python pipeline.py --config CTF-pay/config.paypal.json --paypal --daemon

Четыре режима работы (однократный / пакетный / self-dealer / daemon) + различия конкурентного режима и параметры — в docs/operating-modes.md.

Документация

Известные ограничения

• PayPal billing agreement доступен только для EU. Ограничение счёта Stripe; заказы могут оформляться только с удостоверением личности ЕС (например, IE).
• Путь PayPal guest checkout подвержен множественным срабатываниям антифрода. Могут возникать ошибки INSTRUMENT_SHARING_LIMIT_EXCEEDED / CC_LINKED_TO_FULL_ACCOUNT / CREATE_CARD_ACCOUNT_CANDIDATE_VALIDATION_ERROR / DataDome captcha и т.д. Для каждой известной ошибки в скрипте предусмотрены ветки досрочного выхода и автоматического повтора.
• Выживаемость аккаунтов на следующий день после массовой регистрации ~2%. Это эффект батч-ассоциации антифрод-механизмов ChatGPT, а не проблема самого инструмента. Подробнее в docs/anti-fraud-research.md.
• Путь с бесплатным аккаунтом в настоящее время не работает. OpenAI изменил процесс повторного входа для бесплатных аккаунтов; происходит перенаправление на /add-phone, обойти без реального номера телефона невозможно; access_token от ChatGPT-Web client не совпадает по audience с Codex API.
• Фингерпринты Stripe runtime дрейфуют. runtime.version / js_checksum / rv_timestamp требуют повторного выравнивания примерно раз в несколько недель.

Вклад

Наиболее ценные вклады в порядке влияния:

1. Новые решатели для типов заданий hCaptcha
2. Адаптация протокола при breaking changes в Stripe / PayPal / OpenAI
3. Новые ветки самовосстановления демона для наблюдаемых на практике сценариев сбоев (с логами)
4. Дополнение эмпирических данных по антифроду (деидентификация по аналогии с существующим стилем)
5. Реализация нескольких IP-пулов / ротации прокси для освобождения конкурентности от одного IP
6. Улучшение документации / переводы

⚠️ Автор не может вручную воспроизводить PR. Поэтому при создании PR следуйте шаблону, предоставляя подробное описание + доказательства успешного прохождения (требования различаются в зависимости от типа изменений: для solver'а — JSON раунда, для адаптации протокола — сравнение захваченного трафика, для самовосстановления демона — логи срабатывания и восстановления). Если доказательств нет, PR будет закрыт без объяснений.

Полный рабочий процесс, стиль кода, рекомендации по вкладу с исследованиями (с деидентификацией) — в CONTRIBUTING.md. Правила сообщества — в CODE_OF_CONDUCT.md. Вопросы безопасности не поднимайте публично в issue, смотрите SECURITY.md.

Благодарности

Несколько ключевых зависимостей, используемых в инструментальной цепочке:

• Camoufox — антидетект-сборка Firefox, основа всего слоя автоматизации браузера
• mitmproxy — перехват протоколов
• Playwright — автоматизация браузера
• curl_cffi — эмуляция TLS-отпечатков
• OpenAI CLIP — визуальный каркас для эвристического решателя
• gost — SOCKS5-ретранслятор

Участники кода

Благодарность друзьям, внёсшим код (в порядке PR):

• @Lium-7768 — #12 Align GoPay step visibility to hide 06 and 13
• @DragonBaiMo — #15 Алгоритмический генератор персон + синхронизация имени почты и имени
• @laochendeai — #21 Обнаружение блокирующих страниц challenge

Сообщество

Особая благодарность сообществу LINUX DO — оттуда пришли самые ранние отзывы, тестировщики и уведомления об изменениях протоколов.

Пожертвования

Если этот проект оказался для вас полезным, вы можете поддержать автора чашкой кофе ☕

Благодарность спонсорам

Спасибо за поддержку следующим друзьям (порядок не важен):

Душевная поддержка ценнее суммы; каждой поддержка — это движущая сила для продолжения обслуживания проекта 🙏

Star History

Отказ от ответственности

[!IMPORTANT] Использование данного проекта означает, что вы полностью прочитали, полностью поняли и явно принимаете все условия NOTICE. Если вы не можете принять их — не используйте этот проект, удалите все копии.

Лицензия — MIT, но сама лицензия не является исчерпывающим отказом от ответственности. Полные положения об отказе от ответственности находятся в NOTICE. Ниже приведено ключевое резюме:

Проект предоставляется «как есть» (AS IS), без каких-либо гарантий любого рода. Это включает, но не ограничивается, товарной пригодностью, пригодностью для конкретной цели, ненарушением прав, безопасностью, стабильностью, постоянной совместимостью со сторонними сервисами. Вы единолично несёте все риски, связанные с использованием данного проекта.

Использовать только в разрешённых рамках. Разрешено: системы, принадлежащие вам; легальные CTF; активы in-scope в авторизованных программах bug bounty; исследования в области безопасности. Запрещено: мошенничество, уклонение от оплаты, массовое создание аккаунтов с целью перепродажи, нарушение ToS сторонних платформ, несанкционированные цели.

Вся юридическая ответственность полностью лежит на пользователе. Это включает, но не ограничивается, блокировкой аккаунтов, финансовыми потерями, уголовной ответственностью, гражданскими компенсациями, административными штрафами, претензиями третьих сторон, репутационным ущербом, коммерческими потерями. Применимое законодательство может включать CFAA США, GDPR ЕС, CMA Великобритании, статьи 285/286/287 УК КНР и т.д. Подробнее см. раздел 4 NOTICE.

Автор не обязан отвечать на issue, проверять PR, исправлять ошибки, поддерживать работоспособность или производить адаптацию протоколов. Он сохраняет право архивировать, удалять, переименовывать или прекращать поддержку проекта в любое время без предварительного уведомления.

Данный проект не является частью, не связан, не авторизован и не одобрен OpenAI, Stripe, PayPal, Cloudflare, hCaptcha или любыми другими упомянутыми сторонними сервисами. Все товарные знаки принадлежат их владельцам.

Если вы не уверены в законности использования — не запускайте. Сначала проконсультируйтесь с юристом или свяжитесь с командой безопасности целевой платформы.