접근 방법은 맞는 것 같습니다. 세션아이디는 보통 무작위 글자 적어도 26글자는 되기 때문에 찍어서 못맞추는데 문제에서는 세션아이디가 os.urandom(1).hex()로 1바이트 숫자를 hex문자열로 표현한 것이라서 충분히 브루트포스(무차별 대입 공격)이 가능합니다.
파이썬 인터프리터를 키고 import os; os.urandom(1).hex()를 인터프리터에 쳐서 한번 어떻게 생긴 값들이 생성되는지 보셔도 좋을 것 같습니다.