代码其实很简单

报错注入，updatexml(),floor(),extractvalue(),group_concat()/concat(),前端直接不会显示账号密码的打印；但是在接收前端的数据的那部分后端那里，会看前端传递过来的值是否正确，如果不正确，后端接收值那里就会当MySQL语句执行错误，直接打印MySQL的报错信息怎样解决第二关：通过这一个打印错误信息的漏洞，再让updatexml()方法去真正执行MySQL语句，肯定会出现报错情况，出现了就会打印报错信息；前面的第一关注入是在web页面会打印当前登录的账号。