漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-018041
漏洞标题：淘宝审核机制严重有误，导致推广非法信息
相关厂商：淘宝网
漏洞作者： zeracker
提交时间：2013-01-29 11:21
修复时间：2013-03-15 11:22
公开时间：2013-03-15 11:22
漏洞类型：内容安全
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-29： 细节已通知厂商并且等待厂商处理中
2013-01-29： 厂商已经确认，细节仅向厂商公开
2013-02-08： 细节向核心白帽子及相关领域专家公开
2013-02-18： 细节向普通白帽子公开
2013-02-28： 细节向实习白帽子公开
2013-03-15： 细节向公众公开
简要描述：
淘宝审核机制存在严重问题，导致推广非法信息，相关店铺及人员已经触犯了《中华人民共和国刑法》第二百零九条规定，淘宝有连带责任。
详细说明：
首先我们通过淘宝搜索代开发票
淘宝直通车中的广告标题“住宿餐饮广告商业销售等，懂就进。”
例如：像这样的类似餐票的，多数都是“挂羊头卖狗肉”。月销量能达到6万多。
店铺：
【挂羊头卖狗肉2：】
我们打开一个url,发现该店铺销量还不错，单价10元，成交记录3592件，交易额合计35920元。通过该掌柜的留下的联系方式，我们通过搜索引擎惊奇的发现：
通过加卖家QQ，进行得到。。
具体看聊天记录：
定额发票也成了洗钱的工具.经过近10年的发展,社会财富极大增加,当然社会财富流失依然严重,扰乱了社会的经济秩序,洗钱活动依然猖獗;但是现在洗钱不象以前:逃税为目的.现在主要是如何捞取社会资本,所以税金并不重要.于是现在洗钱人会很老实的提供税务发票,老实纳税,只有这样洗钱会更彻底,定额发票就是最好的工具.
http://item.taobao.com/item.htm?id=16826721256&ali_refid=a3_420434_1006:1104990867:6:%B1%A8%CF%FA%B7%A2%C6%B1:d8c9bf492bc073fb126b57aa16f8e16b&ali_trackid=1_d8c9bf492bc073fb126b57aa16f8e16b
我们再来看一个比较神奇的店铺，这个店铺其实也在出售发票，其中一个链接亮了。99999元的商品。
据了解，一张万元的发票，仅仅只需500元左右就可以买到。在淘宝上的销售额实际是发票面值的20倍以上，店铺月销售额能够达到几十万的大有人在。当然也有一些卖家会不定期的上架和下架的行为，来躲避淘宝所谓的“审查”，其实没有做。
利用定额发票洗钱的人主要是供职于政府\团体\事业\企业等组织的有职有权的贪婪人员,包括有机会的普通职员.现在使用定额发票的主要是餐饮\娱乐\住宿\服务性行业,包括部分出租车发票.
发票提供者发票来源:
1 部分消费者消费后不索取发票,于是就有发票剩余可以开具给需要票据洗钱的人.
2 部分洗钱的人,为了捞取供职单位的资金,在可能情况下,会要求开票单位虚拟业务取得发票,自己承担手续费和税金.这样索票的人有发票报帐就可以捞取资金,提供发票的单位可以取得手续费,国家还可以多收税,简直一片和谐,但是吃亏的是付款单位,最后是整个社会,真是掩耳盗铃,虚假繁荣.他加剧了社会资本的非法流失,加剧了社会收入分配不公,最后影响了社会经济统计的准确性,制造了社会民众的对立因素.国家付出这么大的经济非经济代价,洗钱人或者协助人得到100元的80元或者更多,国家得到也仅仅是20元或者更少(很多定额发票的营业税也仅仅是5%而已).
漏洞证明：
淘宝网是亚太最大的网络零售商圈，致力打造全球领先网络零售商圈，淘宝网注重诚信安全方面的建设，尽管引入了实名认证制，但是类似的违法行为仍然存在，尽管通过对关键字进行了屏蔽，但是在淘宝直通车上只需要付费，“淘宝”就可以提供非法销售发票服务。根据《中华人民共和国刑法》第二百零九条规定，伪造、擅自制造或者出售伪造、擅自制造的可以用于骗取出 口退税、抵扣税款的其他发票的，处三年以下有期徒刑、拘役或者管制，并处二万元以上二十万元以下罚金。伪造、擅自制造 或者出售伪造、擅自制造其他发票的，处二年以下有期徒刑、拘役或者管制，并处或者单处一万元以上五万元以下罚金。
另外，根据2010年5月7日最高人民检察院、公安部《关于公安机关管辖的刑事案件立案追诉标准的规定（二）》第六十八 条的规定：“非法出售普通发票100份以上或票面额累计在40万元以上的，应予立案追诉。”
至于，你们该怎么办，我就不说了。
其他：
非法倒卖发票 被罚了1万元
报销催火加油票“生意” 万元面值发票卖500元
出售假发票 触法被判刑
修复方案：
哎，一言难尽。
版权声明：转载请注明来源 zeracker@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：1
确认时间：2013-01-29 13:52
厂商回复：
信息反馈中的会员存在恶意变相发布行为，并使用直通车上相关搜索来对其商品进行推广。针对此类会员，我们会加大信息的排查和监管力度。同时也欢迎大家通过淘宝网前台违禁品举报入口进行商品举报，我们会在1-2个工作日及时作出反馈。
最新状态：
暂无
漏洞评价：
评论
-
http://www.wxrb.com/node/finance/finance2/2013-1-17/I1B0CI7BE399902.html年终奖要通过报销兑现 发票买卖红火 近日，网友“熊猫助手”在网上发帖，“大量求购大额发票，面值最好成千上万”，因为单位要员工拿发票去领年终奖。记者浏览微博和论坛发现，年底来临，许多白领的年终奖或福利需要通过“报销”的形式来兑现，“跪求发票”的帖子近段时间迅速火了起来，餐饮、住宿、火车票、打车……各种发票都很抢手。而发票买卖和转让则潜藏着被骗和触犯法律法规的隐患。 孙小姐在一家国企工作，单位福利很好，每三个月发一次补贴。但有一点让她头痛不已，住房、交通补贴等好几个名头的补贴都要拿发票去报销，还指定要机打餐饮发票、打的票据等有限的几种票据。有一次，同事悄悄地告诉她，“发票网上可以买到的。”孙小姐忐忑不安地买了一张700元的发票，“混进”自己的一堆打车发票里，没想到顺利地过关了。 有求购发票的，就有提供发票的。许多求购发票的帖子里，“代开发票”的身影总会及时出现。记者在一个求购发票的微博回复中，看到号称“代开各地税据（正规发票），真诚合作”的微博账号，该账号还留下了QQ号和手机号码。对方称，“有餐饮、住宿和交通发票，加5个点才能转让，一次不能买太多。” “买发票和卖发票都是违法的。”金匮律师事务所虞律师告诉记者，且不说有可能购买到的是假发票，购买发票行为本身就是违法的。他认为，许多单位要求员工拿发票来领补贴或奖金，是由于隐性税收太多，企业负担过重，这些票据可以虚列开支，以冲抵企业利润。企业利润降低了，税额便也相应下降，这种行为实质上是“逃税”。“只有将税费负担降到合理的程度，同时实行有力的监管，才能杜绝这种司空见惯的违法行为。”（杨慧玲） 本文来源于：无锡新传媒网 http://www.wxrb.com , 原文地址： http://www.wxrb.com/node/finance/finance2/2013-1-17/I1B0CI7BE399902.html
-
这是什么路线
-
@风萧萧 审计路线
-
@zeracker +1
-
@淘宝网 公关能力很强嘛。明明是自己的问题，推得一干二净。
-
@北洋贱队 ...... 找工商税务局的熟人啊
( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)