使用 Burp Suite 的浏览器访问靶机，打开拦截后随便输入一个账号密码提交，把请求发送到攻击器（Intruder），在Authorization: Basic 后面添加payload位置§比如Authorization: Basic §userandpass§，两个章节符号之间应该是相当于是变量名设置成什么无所谓反正这里就这一个，导入题目提供的密码字典，Payload处理添加前缀admin:然后Base64-encode，取消勾选下面的 URL 编码字符（否则payload Base64末尾的=会被URL编码无法正常工作），点击开始攻击
按状态码排序找到唯一状态码为 200 即 OK 的请求，里面就返回了 flag ctfshow{0cf9fadd-170b-4e9b-8793-f7677bd3c28d}