Session固定攻击

打开题目发现可以登录，和给管理员发消息，还提示测试账号和flag在管理员页面

先登录上test账号，然后给管理员发消息，这里要直接的session id

在cookie中找到自己的session

给管理员发消息

返回开始界面，刷新得到flag

CTF{ctfshow_session_fixation_is_a_common_web_security_vulnerability}