題目地址：http://123.206.31.85:1003/
登進去是一個管理員后台登錄的樣子
試了sql的萬能密碼，發現進不了，而且下面還報錯了ip禁止
禁止了我們的ip，但是他本地的ip肯定沒有禁止，那么我門這里就用XFF參數進行偽造；
XFF即X-Forwarded-For參數
用bp抓包，發現並沒用XFF參數，那么我們加上並賦值為127.0.0.1，讓其在本地發起請求
發現響應里面並沒有出現ip禁止訪問的字符串了。那么接下來試試sql萬能密碼還是不行，我們查看源碼，發現下面還有內容，一直拉到最下面，發現了一個base64編碼
我們拿去base64解碼，解出來是test123，可能是個密碼，因為有個123，密碼都有了，那么用戶肯定很簡單，看看是管理員登錄，那么我們直接猜測用戶名為admin
flag就出來了。