【juice-shop】★★ Meta Geo Stalking：通过图像元数据重置密码

0x01 任务简报

💡 提示 (Hints)

1. 查看相应照片的元数据。
2. 使用能够检查图像元数据的工具。
3. 使用此信息回答 John 的安全问题，他喜欢在公园里徒步旅行。

0x02 实战：复现漏洞

🔍 第一步：信息收集与邮箱猜测

本题涉及 OSINT 技术，需要从公开渠道收集信息。

根据目标名字 John，推测其邮箱可能为：

1
2

john@juice-sh.op
johnny@juice-sh.op

📸 第二步：下载目标照片

从照片墙（用户上传的图片）中找到与徒步相关的照片并下载。

🔎 第三步：提取 GPS 元数据

使用 ExifTool 提取图像中的地理位置信息：

1
2
3
4
5
6
7
8

❯ exiftool favorite-hiking-place.png | grep GPS
GPS Version ID                  : 2.2.0.0
GPS Latitude Ref                : North
GPS Longitude Ref               : West
GPS Map Datum                   : WGS-84
GPS Latitude                    : 36 deg 57' 31.38" N
GPS Longitude                   : 84 deg 20' 53.58" W
GPS Position                    : 36 deg 57' 31.38" N, 84 deg 20' 53.58" W

🗺️ 第四步：坐标转换与地点定位

使用在线工具（如 https://www.itilog.com/ ） 将坐标转换为地点名称：

1
2
3

36 deg 57' 31.38" N, 84 deg 20' 53.58" W
↓
Forest View Road, Laurel County, KY, United States of America

🏞️ 第五步：在地图上查询周边地点

使用 Google Maps 查询该坐标周边的公园和景点。适当调整地图视角以获得更准确的地点信息。

周边主要地点包括：

• Craigs Creek Group Area
• Holly Bay
• Sheltowee Camp
• Daniel Boone National Forest

🔐 第六步：重置密码

进入登录页面，点击忘记密码功能：

• 邮箱：john@juice-sh.op
• 安全问题答案：Daniel Boone National Forest

✅ 第七步：完成挑战

成功重置 John 的密码，挑战完成。