On se rend compte que aucun fichier js n'est chargé mais qu'une pop up alert est présente donc js exécuté.
Donc on récupère le code source de la page et onb l'ouvre dans notre éditeur favori.
curl http://challenge01.root-me.org/web-client/ch1/ | nv
Et hop, mots de passe dans le code en dur.