Oracle数据库安全加固

6）安装补丁（数据库部分）
运行catbundle脚本，但时间比较长，10分钟 左右（视机器性能而定 ） cd C:\app\Administrator\product\11.2.0\dbhome_2\bundle\Patch20 sqlplus /nolog SQL> CONNECT / AS SYSDBA SQL> STARTUP SQL> @catwinbundle.sql SQL> QUIT
补丁号.html
输入metalink的账号、密码就可以。 比如：11.2.0.3.0 PATCH SET 下载链接： https://updates.oracle.com/download/10404530.html
补丁的URL地址

必须输入metalink的账号、密码就才可以下载
PATCH SET 11.2.0.3.0补丁（10404530）：

有两个部分要特别注意：
◦ 1）OPatch的版本，你可以通过opatch version命 令查看Oracle Home当前的OPatch版本，如果低 于Readme规定的最低版本，一定要先升OPatch 才能打补丁。 ◦ 2）打Patch步骤：基本上所有的CPU/PSU都大同 小异，具体步骤将在下面的例子中展示。安装 CPU/PSU补丁
如何检查当前数据库的补丁信息

运行opatch lsinventory命令
演示视频

安装11.2.0.2 安装11.2.0.3 打补丁windows bundle 22
谢谢！
PSU 11.2.0.3.5，但实际上打完PSU后并不会真正改变数据库的版本，从
v$version中看到的版本还是4位的(11.2.0.3.0)，第5位 仍然是0。注意， Windows上没有CPU和PSU，Oracle的集群软件和数据库软件使用不同的 PSU。
补丁的类型

CPU补丁
◦ 每季度发布一次，用来修复安全方面的一些补丁，是累积型的。目前已经更名为 Security Patch Update (SPU)。
数据库版本号


第一位:代表大版本标识。
第二位:代表数据库维护版本发行号(R1 或者R2)。 第三位:代表Oracle Application Server 的 发行版本号。(对于Oracle database软件 而言这一位总是为0)

数据库版本号

第四位:代表某个组件的发行版本号。
数据库版本号
Oracle 重要补丁更新公告文档— 2013 年 7 月
最新补丁集的补丁号
unix
windows
Oracle 重要补丁更新公告文档— 2013 年 7 月
Oracle 重要补丁更新公告文档— 2013 年 7 月
点击下载
补丁的安装步骤

阅读Readme文档
◦ 每个CPU/PSU都有一个Readme文档，关于该CPU/PSU的所 有信息都在Readme文档里，一定要仔细阅读。
Oracle数据库安全加固 之补丁安装
北京东方晨旭科技发展有限公司 http://www.esunrising.com
简介

数据库版本号 如何下载补丁。
◦ 补丁的url地址 ◦ 查找补丁的补丁号

补丁的安装步骤。 安装的注意事项。 如何检查当前数据库的补丁信息
数据库版本号
一般由五位数字组成
安装的注意事项。

从oracle11.2.0.2升级到11.2.0.3时，Oracle会新建一个目录， 并且自动进行数据库的备份，一旦升级失败，可以回退。
如何检查当前数据库的补丁信息

查看DBA_REGISTRY_HISTORY字典表
如何检查当前数据库的补丁信息

运行opatch lsinventory命令
2）备份数据库
这里对全库进行备份，以防打补丁出现意外，可以从备份集中恢复数据 1. 先关闭监听器， 2. 关闭数据库实例， 3. 将其启到mount状态， 4. 然后用rman进行冷备。
3）备份Oracle软件
把Oracle软件打包备份
4）安装Opatch
• 首先，查看当前的OPatch版本
[oracle@data ~]$ opatch version Invoking OPatch 11.1.0.6.6 OPatch Version: 11.1.0.6.6 OPatch succeeded.
Oracle 重要补丁更新公告 — 2013 年 7 月
下载前必须登录
登录比较慢，要耐心等待
注意：要下载CPU/PSU， 必须要有Oracle Support账 号才行！
Oracle 重要补丁更新公告文档— 2013 年 7 月
Oracle 重要补丁更新公告文档— 2013 年 7 月
Oracle 重要补丁更新公告文档— 2013 年 7 月

7)事后检查

该步骤可以和第1步的事先检查对照
先编译无效对象：
◦ sqlplus /nolog SQL> CONNECT / AS SYSDBA SQL> @/rdbms/admin/utlrp.sql SQL> select instance_name,status from v$instance; SQL> select COMP_ID,COMP_NAME,VERSION,STATUS from DBA_REGISTRY; SQL> select ACTION_TIME, ACTION, COMMENTS from DBA_REGISTRY_HISTORY; SQL> select owner,object_name,object_type,status from dba_objects where status<>'VALID'; SQL> select count(*) from dba_objects where status<>'VALID';
• 如果当前的Opatch版本不够，下载最新的Opatch，覆 盖原来的opatch即可
$ unzip p6880880_112000_Linux-x86-64.zip --unzip之后，在当前文件夹下出现OPatch文件夹 $ mv $ORACLE_HOME/OPatch $ORACLE_HOME/OPatch_20130705 $ cp -r ./OPatch $ORACLE_HOME $ opatch version OPatch Version: 11.2.0.3.4 OPatch succeeded.
5）安装补丁（Oracle软件部分）
首先，通过opatch lsinventory 查看之前打过 的补丁信息。然后解压缩补丁文件： $ unzip p12419378_112010_Linux-x86-64.zip $ cd 12419378 最后在补丁的主目录下执行opatch apply，等 待5~10分钟即可（注意：一定要先完全关闭 数据库和监听器） $pwd /home/oracle/psu_jul_2011/12419378 $ opatch apply
补丁的安装步骤


1）事先检查：查看数据库打补丁前信息 2）备份数据库 3）备份Oracle软件 4）安装Opatch 5）安装补丁（Oracle软件部分） 6）安装补丁（数据库部分） 7）事后检查
1）事先检查：查看数据库打补丁前信息。
--查看实例名 sys@ORCL>select instance_name,status from v$instance; --查看数据库版本 sys@ORCL>select * from v$version; --查看数据库大小 sys@ORCL>select sum(bytes)/1024/1024||'M' from dba_segments; --查看组件信息 sys@ORCL>select COMP_ID,COMP_NAME,VERSION,STATUS from DBA_REGISTRY; --查看补丁情况 sys@ORCL>select ACTION_TIME, ACTION, COMMENTS from sys.DBA_REGISTRY_HISTORY; --查看无效对象 sys@ORCL>select count(*) from dba_objects where status<>'VALID'; sys@ORCL> select object_name,object_type,owner,status from dba_objects where status<>'VALID';
https://updates.oracle.com/download/10404530.html
Opatch 6880880 补丁
https://updates.oracle.com/download/6880880.html
搜索补丁的下载地址
重要补丁更新、安全警报和第三方公告地址
重要补丁更新、安全警报和第三方公告地址

第五位：代表平台相关发行版本号。
数据库版本号

可以通过查询V$VERSION来了解当前数据库软件(注意
是Database Software，而不是DB)的版本
补丁的类型

PSR补丁 PSU补丁 CPU补丁

小补丁（Interim patch/One-off patch）
补丁的类型

PSR补丁
安装的注意事项。
打补丁前一定要把oci.dll备份后再重命名 关闭一切与oracle服务相关的服务

重命名
安装的注意事项。来自百度文库

Oci.dll要重命名
否则运行opatch apply时会出现错误
安装的注意事项。

从oracle11.2.0.2升级到11.2.0.3时，Oracle会新建一个目录， 并且自动进行数据库的备份，一旦升级失败，可以回退。

小补丁（Interim patch/One-off patch）
◦ 是我们常说的小补丁，为了修复某(几)个Bug而发布的补丁。这种补丁推
荐在测试库上测试无误后再安装在生产库上。
补丁的URL地址

上面提到的所有补丁都会有一个补丁号，如果已经知道了补
丁号，就可以直接使用下面的链接来下载这个补丁：
https://updates.oracle.com/download/
◦ 是在大版本上发布的补丁集，修复了较多的Bug，可能会包含一些增强功能 （Enhancement）。比如11.2是一个大版本，那么11.2.0.2就 是一个Patch set。这 种补丁集经过了严格的集成测试，也是累积型的。所以我们总是推荐安装最新的 Patch Set。

PSU补丁
◦ 每季度发布一次，修复比较严重的一些问题，包含每季的CPU，是累积 型的。虽然在描述PSU的时候会用到数 据库版本第5位，比如Database