打开网页，情况如下图。
猜测管理员用户名多半是admin，然后密码随便输一个测试。随后页面返回情况如下。
IP禁止访问什么情况？然后用bp抓包，发现源码中有一段注释(<!-- dGVzdDEyMw== -->),发现是BASE64加密，马上进行在线解密得到test123,估计这就是密码了。
重新尝试，还是IP禁止访问，查阅资料，发现了可以通过使用HTTP的X-Forwarded-For头实现。于是在Headers中增添一对键值对： X-Forwarded-For : 127.0.0.1 伪装成本地访问。
修改好后，GO一下，便得到了flag:flag{85ff2ee4171396724bae20c0bd851f6b}