（1）用第四关的方法尝试，发现不行，查看页面源代码，发现on中间有了下划线

（2）查看PHP源代码

     没有找到和".htmlspecialchars($str)."相关的结果.".'
     
      
       
       
      
     ';?>

 可见"<script>"以及"on"都被替换了，无法通过鼠标事件进行。考虑下用链接（href）,即在链接中调用js.

（3）在输入框输入

">

 

点击圆圈内的超链接