Veio do buscador

Este site trata os visitantes de formas diferentes. Quem chega por um resultado de buscador (Google, Bing) ganha um acesso que o visitante direto não tem, incluindo ver a flag. Quem abre o endereço direto é mandado embora.

O navegador conta de onde você veio num cabeçalho do pedido, o Referer. O servidor confia nele. Monte um pedido que pareça vir de um buscador e recupere a flag:

https://ctfplay.firstseclounge.org/37e2bf0b1e161701d989bc3ba1feae7a/ (abre em nova aba)

A flag é o valor que o site mostra (32 caracteres hexadecimais), enviado como tocaia{...}.