漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-018041
漏洞标题：淘宝审核机制严重有误，导致推广非法信息
相关厂商：淘宝网
漏洞作者： zeracker
提交时间：2013-01-29 11:21
修复时间：2013-03-15 11:22
公开时间：2013-03-15 11:22
漏洞类型：内容安全
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-29： 细节已通知厂商并且等待厂商处理中
2013-01-29： 厂商已经确认，细节仅向厂商公开
2013-02-08： 细节向核心白帽子及相关领域专家公开
2013-02-18： 细节向普通白帽子公开
2013-02-28： 细节向实习白帽子公开
2013-03-15： 细节向公众公开
简要描述：
淘宝审核机制存在严重问题，导致推广非法信息，相关店铺及人员已经触犯了《中华人民共和国刑法》第二百零九条规定，淘宝有连带责任。
详细说明：
首先我们通过淘宝搜索代开发票
淘宝直通车中的广告标题“住宿餐饮广告商业销售等，懂就进。”
例如：像这样的类似餐票的，多数都是“挂羊头卖狗肉”。月销量能达到6万多。
店铺：
【挂羊头卖狗肉2：】
我们打开一个url,发现该店铺销量还不错，单价10元，成交记录3592件，交易额合计35920元。通过该掌柜的留下的联系方式，我们通过搜索引擎惊奇的发现：
通过加卖家QQ，进行得到。。
具体看聊天记录：
定额发票也成了洗钱的工具.经过近10年的发展,社会财富极大增加,当然社会财富流失依然严重,扰乱了社会的经济秩序,洗钱活动依然猖獗;但是现在洗钱不象以前:逃税为目的.现在主要是如何捞取社会资本,所以税金并不重要.于是现在洗钱人会很老实的提供税务发票,老实纳税,只有这样洗钱会更彻底,定额发票就是最好的工具.
http://item.taobao.com/item.htm?id=16826721256&ali_refid=a3_420434_1006:1104990867:6:%B1%A8%CF%FA%B7%A2%C6%B1:d8c9bf492bc073fb126b57aa16f8e16b&ali_trackid=1_d8c9bf492bc073fb126b57aa16f8e16b
我们再来看一个比较神奇的店铺，这个店铺其实也在出售发票，其中一个链接亮了。99999元的商品。
据了解，一张万元的发票，仅仅只需500元左右就可以买到。在淘宝上的销售额实际是发票面值的20倍以上，店铺月销售额能够达到几十万的大有人在。当然也有一些卖家会不定期的上架和下架的行为，来躲避淘宝所谓的“审查”，其实没有做。
利用定额发票洗钱的人主要是供职于政府\团体\事业\企业等组织的有职有权的贪婪人员,包括有机会的普通职员.现在使用定额发票的主要是餐饮\娱乐\住宿\服务性行业,包括部分出租车发票.
发票提供者发票来源:
1 部分消费者消费后不索取发票,于是就有发票剩余可以开具给需要票据洗钱的人.
2 部分洗钱的人,为了捞取供职单位的资金,在可能情况下,会要求开票单位虚拟业务取得发票,自己承担手续费和税金.这样索票的人有发票报帐就可以捞取资金,提供发票的单位可以取得手续费,国家还可以多收税,简直一片和谐,但是吃亏的是付款单位,最后是整个社会,真是掩耳盗铃,虚假繁荣.他加剧了社会资本的非法流失,加剧了社会收入分配不公,最后影响了社会经济统计的准确性,制造了社会民众的对立因素.国家付出这么大的经济非经济代价,洗钱人或者协助人得到100元的80元或者更多,国家得到也仅仅是20元或者更少(很多定额发票的营业税也仅仅是5%而已).
漏洞证明：
淘宝网是亚太最大的网络零售商圈，致力打造全球领先网络零售商圈，淘宝网注重诚信安全方面的建设，尽管引入了实名认证制，但是类似的违法行为仍然存在，尽管通过对关键字进行了屏蔽，但是在淘宝直通车上只需要付费，“淘宝”就可以提供非法销售发票服务。根据《中华人民共和国刑法》第二百零九条规定，伪造、擅自制造或者出售伪造、擅自制造的可以用于骗取出 口退税、抵扣税款的其他发票的，处三年以下有期徒刑、拘役或者管制，并处二万元以上二十万元以下罚金。伪造、擅自制造 或者出售伪造、擅自制造其他发票的，处二年以下有期徒刑、拘役或者管制，并处或者单处一万元以上五万元以下罚金。
另外，根据2010年5月7日最高人民检察院、公安部《关于公安机关管辖的刑事案件立案追诉标准的规定（二）》第六十八 条的规定：“非法出售普通发票100份以上或票面额累计在40万元以上的，应予立案追诉。”
至于，你们该怎么办，我就不说了。
其他：
非法倒卖发票 被罚了1万元
报销催火加油票“生意” 万元面值发票卖500元
出售假发票 触法被判刑
修复方案：
哎，一言难尽。
版权声明：转载请注明来源 zeracker@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：1
确认时间：2013-01-29 13:52
厂商回复：
信息反馈中的会员存在恶意变相发布行为，并使用直通车上相关搜索来对其商品进行推广。针对此类会员，我们会加大信息的排查和监管力度。同时也欢迎大家通过淘宝网前台违禁品举报入口进行商品举报，我们会在1-2个工作日及时作出反馈。
最新状态：
暂无