站长速成：30分钟精通MSSQL高性能查询实战

　　昨晚三点零七分，群里@全员弹出来，头像还是那个灰底白字的“运维老张”，消息就一句：“查查10.23.141.89——刚连上就跑了个sp_who2，三秒断。”我没回，切到跳板机翻日志，第一眼就看见那串IP在sa登录失败后第五次试了sysadmin角色，没爆破，是绕了链接字符串里的Application Name字段混进来的。这个我敢打包票，Application Name里塞了个“-reporting-v2”加十六个空格，WAF规则写了三年都没拦住过这路货。

文章配图，仅供参考

　　安全是成本不是收入——这话他们讲PPT的时候声音挺响，可等我点开那份《高性能查询实战》PDF第三页，“推荐用SELECT + OFFSET FETCH做分页”下面标红写着“实测响应压测QPS提升二百一十四”，却没人提这一句在触发tempdb排序溢出时，会顺手把query_hash里带%的执行计划缓存全踢掉。上个月西区那台主库雪崩前最后三条Trace Flag是1117、1118、2312，全开了，就是没开8649——不是不知道，是测试环境根本跑不起来这个flag，因为测试DB只有八百条用户数据，而生产库user_login_history表光索引碎片就三百七十二，我上周五亲眼看着DBA用DBCC SHOW_STATISTICS看了三遍直方图，说“够用了”。

　　王工昨天在机房门口叼着烟问我：“你猜为什么所有带TOP N的查询都卡在CXPACKET？”我没答，他吐了个圈，烟灰掉在鞋面上，自己弯腰拍了拍。他后来自己说漏嘴了：他们新上的那个“智能SQL审计中间件”，本质就是hook了sqlservr.exe的sqllang.dll导出表，每次parse完往本地sqlite插一条，插太快就锁表，然后整个连接池开始超时。这事跟性能无关，纯属写代码的没见过十亿行的plan_handle哈希碰撞。不过……这个我说不准，我只看过他们git提交记录里有一行注释：“暂时禁用plan_handle去重，先上线再说”。

　　凌晨四点十七分，日志里又出现10.23.141.89，这次没试sa，直接连上了application数据库，执行了SELECT @@VERSION, @@SPID, DB_NAME() ——就这三个，返回结果被重定向到\\\\127.0.0.1\\ADMIN$\\temp\\svc\\debug.out，路径名是我去年十一月在某台失陷主机上见过的。删掉？早删过了。重建共享？服务早停了。现在那个路径下只有个零字节的debug.out，last modified时间戳是今天03:59:22，比我看到@全员还早十四分钟。

　　别信“三十分钟精通”这种鬼话。真精通的人，不会教你怎么用OPTION(RECOMPILE)去救烂参数嗅探，而是先把应用层传进来的@p1从NVARCHAR(4000)改成VARCHAR(50)，再看执行计划有没有Parameterized Plan和Simple Parameterization打架。但我们那位讲师PPT第六页还在演示“如何用XML PATH拼接字符串提速”，而他脚边电脑屏幕右下角钉着的RDP窗口里，一个ID为72的session正死在等待LCK_M_S上，blocked_session_id=0，但wait_time>32万毫秒——这种事，练三百遍也看不出门道，除非你亲手在tempdb里扒过八次分配页，指关节被IO Wait烫出茧子来。

　　对了，李姐今天上午九点给我发微信截图，是某个CDN厂商的工单回复，说“经核查，该SQL注入流量已被WAF识别并阻断，规则编号WAF-MSSQL-2023-R9”，底下附了个报文片段，Host头里夹了base64_decode('U0VMRUNUIFdJVEggTk9MT0NrIEZST00gdXNlcnM='），解出来就是WITH (NOLOCK) FROM users——这玩意儿他们规则库里标了“低危”。李姐没问规则问题，就问了一句：“咱们下周渗透复测，要不要把这条也加进白名单？” 我回了个“？” 她两分钟后撤回了。

　　我不着急改规则，也不打算拉群开会。明早八点前，我要把那台装了“sqlsvcpool.dll”的服务器内存镜像拽下来，不管有没有用，先拽。要是镜像里找不到它调用的API，我就去翻三天前的EDR原始日志，不是看进程树，是看CreateThread的lpStartAddress地址段——得是那种连续五个地址都落在ntdll.dll之外的才值得点开。其他？爱谁谁。反正三十分钟，我连PowerShell脚本都写不完两个靠谱的dump命令。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!