报错注入比布尔盲注快得多，因其一次请求即可将查询结果直接嵌入数据库错误消息回显，而布尔盲注需逐比特判断、上百次请求才能获取同等信息，且受前端渲染、缓存等干扰，稳定性与响应速度均远低于报错注入。
因为报错注入能直接把查询结果塞进数据库错误消息里，一次请求就回显数据，不用像盲注那样反复猜、等响应、数真假。
报错注入为什么比布尔盲注快得多
布尔盲注本质是“问是非题”：构造 SELECT 1 FROM users WHERE id=1 AND (SELECT LENGTH(database()))>5，靠页面是否返回正常内容来判断真假——每次只能确认 1 比特信息，查一个库名往往要发上百次请求。
而报错注入（比如用 extractvalue()）是“让数据库自己说漏嘴”：构造 AND extractvalue(1,concat(0x7e,(SELECT database()),0x7e))，只要语句语法合法、执行阶段出错，MySQL 就会把 ~security~ 这样的结果原样写进 XPATH syntax error 错误里，一次搞定。
- 布尔盲注依赖应用层渲染差异，受前端 JS、CSS、缓存干扰大；报错注入只看 HTTP 响应体里的错误文本，更稳定
- 时间盲注要靠
SLEEP()或BENCHMARK()拖延响应，单次请求耗时动辄几秒；报错注入响应速度和正常查询几乎无异 - 报错注入对 payload 的容错更低——括号缺一个、引号多一层，就会提前报语法错误，得不到目标数据；必须严格保证外层 SQL 结构正确
updatexml() 和 extractvalue() 的实际差异
这两个函数在 MySQL 5.1+ 都可用，原理类似：都要求第二个参数是非法 XPath 表达式，触发错误并回显该参数值。但实操中要注意：
-
updatexml(1, concat(0x7e, (SELECT user()), 0x7e), 1)—— 第二个参数长度不能超过 32 字符，超长会被截断，查表名/字段名时容易丢数据 -
extractvalue(1, concat(0x7e, (SELECT schema_name FROM information_schema.schemata LIMIT 0,1), 0x7e))—— 同样受 32 字节限制，但错误提示格式略有不同，某些 WAF 对关键词updatexml拦得更死 - MySQL 8.0.22+ 默认禁用
extractvalue和updatexml，如果靶机是新版，得换geometrycollection()或polygon()等替代函数
为什么 floor(rand()*2) 报错在实战中越来越难用
这个老套路依赖 GROUP BY + rand() 导致主键重复报错，但问题很多：
- 必须配合
count(*)和GROUP BY才能触发，构造复杂，比如：AND (SELECT 1 FROM (SELECT COUNT(*), CONCAT((SELECT database()), FLOOR(RAND(0)*2)) x FROM information_schema.TABLES GROUP BY x) a) - 第一次执行可能不报错（
rand()没重复），需要多试几次；而extractvalue是确定性报错，更可靠 - MySQL 8.0 对
rand()行为做了调整，部分版本下无法稳定复现主键冲突 - WAF 规则普遍盯紧
rand、floor、group by组合，一出现就拦截
真正卡住报错注入落地的，从来不是函数选哪个，而是应用是否真的把数据库错误原样吐给前端——现在很多系统即使出错也只返回“系统繁忙”，或者把错误日志写文件、不回显，这时候再熟的 updatexml 也没用。
