打開網頁，情況如下圖。
猜測管理員用戶名多半是admin，然后密碼隨便輸一個測試。隨后頁面返回情況如下。
IP禁止訪問什么情況？然后用bp抓包，發現源碼中有一段注釋(<!-- dGVzdDEyMw== -->),發現是BASE64加密，馬上進行在線解密得到test123,估計這就是密碼了。
重新嘗試，還是IP禁止訪問，查閱資料，發現了可以通過使用HTTP的X-Forwarded-For頭實現。於是在Headers中增添一對鍵值對： X-Forwarded-For : 127.0.0.1 偽裝成本地訪問。
修改好后，GO一下，便得到了flag:flag{85ff2ee4171396724bae20c0bd851f6b}