解题链接
思路
查看页面源码，发现一句代码
$_GET['password'] == $_SESSION['password']传入的password要等于session中的password，在PHP配置中的默认情况下，Session是用Session ID来确定当前对话所对应的服务器Session，sessionID可在cookie中找到，当我们删除cookie中的sessionID后，$_SESSION['password']就会返回空，我们同样传入空的password就能绕过了
先拿burp抓包，果然是存在PHPSESSID，删除后面的值，password不要赋值，go一下就能拿到flag
答案
CTF{Cl3ar_th3_S3ss1on}