当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-018041

漏洞标题:淘宝审核机制严重有误,导致推广非法信息

相关厂商:淘宝网

漏洞作者: zeracker

提交时间:2013-01-29 11:21

修复时间:2013-03-15 11:22

公开时间:2013-03-15 11:22

漏洞类型:内容安全

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-01-29: 细节已通知厂商并且等待厂商处理中
2013-01-29: 厂商已经确认,细节仅向厂商公开
2013-02-08: 细节向核心白帽子及相关领域专家公开
2013-02-18: 细节向普通白帽子公开
2013-02-28: 细节向实习白帽子公开
2013-03-15: 细节向公众公开

简要描述:

淘宝审核机制存在严重问题,导致推广非法信息,相关店铺及人员已经触犯了《中华人民共和国刑法》第二百零九条规定,淘宝有连带责任。

详细说明:

首先我们通过淘宝搜索代开发票

http://s.taobao.com/search?q=%B2%B9%B7%A2%C6%B1&initiative_id=staobaoz_20130116


1.jpg


淘宝直通车中的广告标题“住宿餐饮广告商业销售等,懂就进。”

2.jpg


例如:像这样的类似餐票的,多数都是“挂羊头卖狗肉”。月销量能达到6万多。

3.jpg


店铺:

http://item.taobao.com/item.htm?id=16461257903&ali_refid=a3_420434_1006:1104808423:6:%B1%A8%CF%FA%B7%A2%C6%B1:3aa667d8372808ab14181f9e2b23c0d8&ali_trackid=1_3aa667d8372808ab14181f9e2b23c0d8


*QQ:2276357994(请注明淘宝购物)  电话 13928454005


【挂羊头卖狗肉2:】

4.jpg


5.jpg


我们打开一个url,发现该店铺销量还不错,单价10元,成交记录3592件,交易额合计35920元。通过该掌柜的留下的联系方式,我们通过搜索引擎惊奇的发现:

6.jpg


通过加卖家QQ,进行得到。。
具体看聊天记录:

7.jpg


8.jpg


http://item.taobao.com/item.htm?id=16992886965&ali_refid=a3_420434_1006:1104868579:6:%B1%A8%CF%FA%B7%A2%C6%B1:f8946bfbb8eca6d45a6c19a287142896&ali_trackid=1_f8946bfbb8eca6d45a6c19a287142896
http://item.taobao.com/item.htm?id=20843036185&ali_refid=a3_420434_1006:1104770825:6:%B1%A8%CF%FA%B7%A2%C6%B1:027b1e487cb1aedfa4e580f324721f6e&ali_trackid=1_027b1e487cb1aedfa4e580f324721f6e
http://item.taobao.com/item.htm?id=16826721256&ali_refid=a3_420434_1006:1104990867:6:%B1%A8%CF%FA%B7%A2%C6%B1:d8c9bf492bc073fb126b57aa16f8e16b&ali_trackid=1_d8c9bf492bc073fb126b57aa16f8e16b
http://item.taobao.com/item.htm?id=18346567364&ali_refid=a3_420434_1006:1104631327:6::4a3ca9820fd62187549010dc647c655d&ali_trackid=1_4a3ca9820fd62187549010dc647c655d
http://item.taobao.com/item.htm?spm=a230r.1.10.74.6HVNMm&id=16298694544


定额发票也成了洗钱的工具.经过近10年的发展,社会财富极大增加,当然社会财富流失依然严重,扰乱了社会的经济秩序,洗钱活动依然猖獗;但是现在洗钱不象以前:逃税为目的.现在主要是如何捞取社会资本,所以税金并不重要.于是现在洗钱人会很老实的提供税务发票,老实纳税,只有这样洗钱会更彻底,定额发票就是最好的工具.
http://item.taobao.com/item.htm?id=16826721256&ali_refid=a3_420434_1006:1104990867:6:%B1%A8%CF%FA%B7%A2%C6%B1:d8c9bf492bc073fb126b57aa16f8e16b&ali_trackid=1_d8c9bf492bc073fb126b57aa16f8e16b

10.jpg


11.jpg


我们再来看一个比较神奇的店铺,这个店铺其实也在出售发票,其中一个链接亮了。99999元的商品。

12.jpg


据了解,一张万元的发票,仅仅只需500元左右就可以买到。在淘宝上的销售额实际是发票面值的20倍以上,店铺月销售额能够达到几十万的大有人在。当然也有一些卖家会不定期的上架和下架的行为,来躲避淘宝所谓的“审查”,其实没有做。
利用定额发票洗钱的人主要是供职于政府\团体\事业\企业等组织的有职有权的贪婪人员,包括有机会的普通职员.现在使用定额发票的主要是餐饮\娱乐\住宿\服务性行业,包括部分出租车发票.
发票提供者发票来源:
1 部分消费者消费后不索取发票,于是就有发票剩余可以开具给需要票据洗钱的人.
2 部分洗钱的人,为了捞取供职单位的资金,在可能情况下,会要求开票单位虚拟业务取得发票,自己承担手续费和税金.这样索票的人有发票报帐就可以捞取资金,提供发票的单位可以取得手续费,国家还可以多收税,简直一片和谐,但是吃亏的是付款单位,最后是整个社会,真是掩耳盗铃,虚假繁荣.他加剧了社会资本的非法流失,加剧了社会收入分配不公,最后影响了社会经济统计的准确性,制造了社会民众的对立因素.国家付出这么大的经济非经济代价,洗钱人或者协助人得到100元的80元或者更多,国家得到也仅仅是20元或者更少(很多定额发票的营业税也仅仅是5%而已).

漏洞证明:

淘宝网是亚太最大的网络零售商圈,致力打造全球领先网络零售商圈,淘宝网注重诚信安全方面的建设,尽管引入了实名认证制,但是类似的违法行为仍然存在,尽管通过对关键字进行了屏蔽,但是在淘宝直通车上只需要付费,“淘宝”就可以提供非法销售发票服务。根据《中华人民共和国刑法》第二百零九条规定,伪造、擅自制造或者出售伪造、擅自制造的可以用于骗取出 口退税、抵扣税款的其他发票的,处三年以下有期徒刑、拘役或者管制,并处二万元以上二十万元以下罚金。伪造、擅自制造 或者出售伪造、擅自制造其他发票的,处二年以下有期徒刑、拘役或者管制,并处或者单处一万元以上五万元以下罚金。
  另外,根据2010年5月7日最高人民检察院、公安部《关于公安机关管辖的刑事案件立案追诉标准的规定(二)》第六十八 条的规定:“非法出售普通发票100份以上或票面额累计在40万元以上的,应予立案追诉。”
至于,你们该怎么办,我就不说了。
其他:
非法倒卖发票 被罚了1万元

http://www.taihainet.com/news/xmnews/shms/2013-01-19/1013129.html

13.jpg


报销催火加油票“生意” 万元面值发票卖500元

http://news.ifeng.com/gundong/detail_2013_01/13/21140980_0.shtml


14.jpg


出售假发票 触法被判刑

http://news.xinhuanet.com/legal/2012-12/07/c_124064971.htm


15.jpg


修复方案:

哎,一言难尽。

版权声明:转载请注明来源 zeracker@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:1

确认时间:2013-01-29 13:52

厂商回复:

信息反馈中的会员存在恶意变相发布行为,并使用直通车上相关搜索来对其商品进行推广。针对此类会员,我们会加大信息的排查和监管力度。同时也欢迎大家通过淘宝网前台违禁品举报入口进行商品举报,我们会在1-2个工作日及时作出反馈。

最新状态:

暂无