Oracle 11g补丁p20760997应用前必做的5项校验

简介：本资源是Oracle数据库11.2.0.3版本专用的安全与稳定性补丁包，面向DBA、运维工程师及企业级数据库维护人员，用于解决已知安全漏洞、性能缺陷与系统稳定性问题，尤其适用于需通过合规审计或强化生产环境防护的场景。压缩包为ZIP格式，大小100.73MB，内含关键补丁程序（如编号20760997的可执行/脚本文件）及PatchSearch.xml等元数据配置文件，前者用于实际打补丁操作，后者提供补丁适用性校验与安装指引。资源已获293人学习下载，体现了其在Oracle 11g R2长期维护阶段的实际应用价值。读者可直接获取完整、官方认证的DATABASE PATCH SET UPDATE 11.2.0.3.15（含CPUJUL2015），无需自行拼凑多个独立补丁，显著降低升级风险；同时配套XML文件有助于自动化适配检查与部署流程，提升补丁管理效率与可靠性。

1. Oracle 补丁 p20760997_112030_Linux-x86-64.zip：别急着 unzip，先看清楚这是给谁打的补丁

你刚从 My Oracle Support（MOS）下载完p20760997_112030_Linux-x86-64.zip，双击解压、cd 进去、./opatch apply 一气呵成——结果报错OPatch failed with error code 73，或者更糟：数据库实例启动失败、监听器拒绝连接、甚至sqlplus / as sysdba直接卡死在ORA-01034: ORACLE not available。这不是玄学，是真实踩坑现场。这个补丁编号p20760997对应的是 Oracle Database 11g Release 2（11.2.0.3.0）的 Critical Patch Update（CPU）中的一个关键安全修复，而_112030明确指向目标版本——它只兼容 11.2.0.3.0 基础安装，不向下兼容 11.2.0.1/2，也不向上支持 11.2.0.4+。很多团队在升级前没做版本快照、没验证 OPatch 版本、没停监听就硬上，结果补丁回滚都救不回来。本文不是讲“怎么下载”，而是带你从零确认：你的环境是否真的配得上这个 zip 包？它该打在数据库 home 还是 grid home？OPatch 是该升级还是降级？补丁冲突怎么提前发现？适合正在维护老旧 Oracle 11g 生产库、又不敢轻易升级大版本的 DBA 和运维同学——装对了是加固，装错了是自毁。

2. 环境校验与前置准备：三步确认你的系统能接住这个补丁

2.1 确认 Oracle Home 版本与补丁兼容性：别让 11.2.0.4 拿着 11.2.0.3 的补丁硬上

补丁包名p20760997_112030_Linux-x86-64.zip中的_112030是核心线索：它代表该补丁专为Oracle Database 11.2.0.3.0构建。必须严格匹配，否则 OPatch 会直接拒绝应用。执行以下命令确认当前数据库 home 的真实版本：

# 切换到你的 Oracle 数据库软件目录（非数据库实例目录） cd $ORACLE_HOME ./opatch version # 输出示例：OPatch Version: 11.2.0.3.0 → 合规 # 若输出 OPatch Version: 11.2.0.1.0 或 11.2.0.4.0，则需先升级/降级 OPatch

再验证数据库软件版本本身：

# 在 $ORACLE_HOME 下执行 $ORACLE_HOME/OPatch/opatch lsinventory -detail | grep "Oracle Database 11g" # 正确输出应含：Oracle Database 11g Enterprise Edition Release 11.2.0.3.0 - 64bit Production # 若显示 11.2.0.1.0 或 11.2.0.4.0，则此补丁不可用 —— 强行运行会触发 OPatch error code 22（version mismatch）

提示：lsinventory输出中Patch Level字段必须是11.2.0.3.0，不能只看$ORACLE_HOME/inventory/ContentsXML/comps.xml里写的11.2.0.3.0，那是安装时记录，可能被手动改过。真实版本以opatch lsinventory为准。

2.2 检查并升级 OPatch 至最低要求版本：11.2.0.3.0 补丁要求 OPatch ≥ 11.2.0.3.0

Oracle 官方明确要求：为 11.2.0.3.0 打 CPU 补丁，OPatch 版本不得低于 11.2.0.3.0。旧版 OPatch（如 11.2.0.1.0）无法识别新补丁元数据结构，会报OPatch failed with error code 73（即 “invalid patch”）。升级 OPatch 是独立动作，不依赖数据库启停：

# 1. 下载最新 OPatch（MOS 文档 ID 6880880.1），例如 p6880880_112000_Linux-x86-64.zip # 2. 解压后替换 $ORACLE_HOME/OPatch 目录（注意备份原目录！） mv $ORACLE_HOME/OPatch $ORACLE_HOME/OPatch.bak_$(date +%Y%m%d) unzip p6880880_112000_Linux-x86-64.zip -d $ORACLE_HOME/ # 3. 验证权限与属主（必须与 oracle 用户一致） chown -R oracle:oinstall $ORACLE_HOME/OPatch chmod -R 755 $ORACLE_HOME/OPatch # 4. 最终验证 $ORACLE_HOME/OPatch/opatch version # 必须输出：OPatch Version: 11.2.0.3.0 或更高（如 11.2.0.3.18）

注意：不要用opatch auto命令自动升级 OPatch——它只适用于 GI home，且在 11g 环境下极易因权限问题失败。手动替换是最稳方案，我经手的 17 套 11g 环境全部采用此法，零翻车。

2.3 检查系统资源与补丁冲突：内存、空间、已装补丁一个都不能少

补丁应用过程会解压临时文件、编译对象、更新字典表，对资源有硬性要求：

特别注意冲突检查：
有些团队曾误将p20760997的早期测试版（如p20760997_112030_BETA）打过一次，未清理干净。此时lsinventory可能不显示，但实际文件已残留。安全做法是：

# 查找所有含 20760997 的文件（无论是否在 inventory 中注册） find $ORACLE_HOME -name "*20760997*" -o -name "*p20760997*" 2>/dev/null # 若输出非空（如 $ORACLE_HOME/.patch_storage/20760997*），说明有残留，必须先清理： $ORACLE_HOME/OPatch/opatch rollback -id 20760997 # 再次 find 确认无输出，方可继续

3. 补丁解压与预检：解压不是目的，预检才是救命环节

3.1 安全解压与目录结构确认：别让 zip 解压覆盖掉你的 OPatch

p20760997_112030_Linux-x86-64.zip是标准 OPatch 格式补丁包，解压后生成一个以补丁号命名的目录（如20760997），内部结构固定：

20760997/ ├── etc/ │ ├── config/ │ │ └── actions.xml ← 补丁操作定义（apply/rollback） │ └── files/ ← 文件清单（哪些 .so/.jar 被替换） ├── files/ ← 实际二进制文件（lib, rdbms, network 等子目录） │ ├── lib/ │ ├── rdbms/ │ └── network/ └── README.txt ← 官方说明（必读！含已知限制）

解压命令必须带-d指定目录，严禁在$ORACLE_HOME下直接unzip：

# 创建独立补丁工作区（推荐放在 /u01/stage/patches/ 下） mkdir -p /u01/stage/patches/p20760997 cd /u01/stage/patches/p20760997 unzip /path/to/p20760997_112030_Linux-x86-64.zip # 验证解压完整性（检查关键文件是否存在） ls -l 20760997/etc/config/actions.xml 20760997/files/lib/libserver11.a # 若任一文件缺失，zip 损坏，立即重新下载（MOS 下载有时会中断）

3.2 运行 opatch prereq 检查：这一步省掉，后面 90% 的失败都源于它

OPatch 提供prereq子命令，可模拟补丁应用全流程，提前暴露所有潜在问题。它不修改任何文件，纯读取校验，是血泪经验总结出的“后悔药”：

# 进入补丁目录 cd /u01/stage/patches/p20760997/20760997 # 执行预检（-ph 指向当前补丁目录，-oh 指向 Oracle Home） $ORACLE_HOME/OPatch/opatch prereq CheckConflictAgainstOHWithDetail -ph ./ -oh $ORACLE_HOME

成功输出特征：末尾出现Prereq check passed.，且无ERROR行。
典型失败场景及含义：

注意：prereq检查耗时约 3–8 分钟（取决于 home 大小），但它能避免你花 2 小时 rollback 一个失败的补丁。我经手的所有生产环境补丁操作，prereq是强制第一步，从不跳过。

3.3 检查 README.txt 中的关键限制：官方藏在文本里的“免责声明”

20760997/README.txt不是可选阅读材料，而是 Oracle 官方对补丁适用边界的法律级声明。重点扫描以下三类内容：

1. 数据库状态要求：

   "This patch must be applied when the database is in MOUNT state, NOT OPEN."
   → 意味着必须shutdown immediate; startup mount;后再打补丁，否则ORA-01157: cannot identify/lock data file。

2. 组件启用状态：

   "Requires Oracle Label Security (OLS) to be installed and enabled."
   → 若你的库未启用 OLS（SELECT * FROM dba_ols_status;返回空），则此补丁不可用，需先配置 OLS 或申请替代补丁。

3. 已知问题（Known Issues）：

   "Applying this patch may cause ORA-600 [kghfrf1] during long-running parallel queries."
   → 提示你补丁后需监控 AWR 中ORA-600出现频率，若激增需立即回滚。

务必全文通读 README，用grep -i -E "(mount|open|ols|label|known|issue)" 20760997/README.txt快速定位关键行。

4. 补丁应用与验证：分步执行，每步留痕，拒绝“一键到底”

4.1 停止所有相关服务：监听器、数据库、Agent，一个都不能漏

补丁应用期间，任何进程访问$ORACLE_HOME下的二进制文件都可能导致Text file busy错误。必须确保无残留进程：

# 1. 停监听（注意：不是 lsnrctl stop，而是彻底 kill） lsnrctl stop LISTENER # 确认无监听进程 ps -ef \| grep -i "tnslsnr" \| grep -v grep # 若仍有，kill -9 <pid> # 2. 停数据库（必须 MOUNT 状态，非 OPEN） sqlplus / as sysdba << 'EOF' shutdown immediate; startup mount; exit; EOF # 3. 停 OEM Agent（若启用） $AGENT_HOME/bin/emctl stop agent # 4. 检查所有 oracle 用户进程（排除 sqlplus 会话） ps -U oracle -o pid,ppid,comm,args \| grep -v "sqlplus\|bash\|sh" \| grep -v "grep" # 若有残留（如 ora_pmon_*, ora_mman_*），用 kill -9 清理

提示：startup mount后，用select status from v$instance;确认状态为MOUNTED，而非OPEN。这是补丁能成功的物理前提。

4.2 执行 opatch apply 并实时监控日志：别让后台任务失控

进入补丁目录，执行标准应用命令。必须加-ocmrf参数跳过 OCM（Oracle Configuration Manager）交互，否则会在终端卡住等待输入：

cd /u01/stage/patches/p20760997/20760997 $ORACLE_HOME/OPatch/opatch apply -ocmrf

关键参数说明：

• -ocmrf：跳过 OCM 配置（11g 环境默认禁用 OCM，不加此参数会卡在Enter your email address）
• -silent：可选，用于脚本化，但首次手动执行建议不加，便于观察实时输出
• -invPtrLoc：仅当 inventory 路径非默认时使用（如/etc/oraInst.loc不在标准位置）

执行过程中，OPatch 会输出类似：

ApplySession applying interim patch '20760997' to OH '/u01/app/oracle/product/11.2.0/dbhome_1' ... Patching component oracle.rdbms, 11.2.0.3.0... Copying files... Running make for target client_sharedlib...

必须监控的三个信号：

1. Running make for target ...出现后，立即tail -f $ORACLE_HOME/cfgtoollogs/opatch/opatch*.log查看编译日志
2. 若make卡住超过 5 分钟，检查free -m和/tmp空间
3. 最终输出必须含OPatch succeeded.，且无ERROR行（警告WARNING可接受，如some files not found）

4.3 补丁后数据库字典升级：catbundle.sql 是最后一道关卡

补丁二进制文件更新后，数据库字典（data dictionary）必须同步升级，否则SELECT * FROM v$version仍显示旧版本，且新功能不可用。此步骤必须在 SQL*Plus 中以SYSDBA执行：

# 保持数据库在 MOUNT 状态（勿 exit sqlplus） sqlplus / as sysdba << 'EOF' -- 1. 先打开数据库（补丁要求 MOUNT，但字典升级需 OPEN） alter database open; -- 2. 运行 catbundle（路径固定，11.2.0.3.0 对应 cpu.sql） @?/rdbms/admin/catbundle.sql cpu apply -- 3. 重新启动以加载新字典 shutdown immediate; startup; exit; EOF

验证字典升级成功：

-- 查询补丁应用记录 SELECT ACTION, VERSION, BUNDLE_SERIES, COMMENTS FROM dba_registry_history WHERE BUNDLE_SERIES = 'CPU' AND VERSION = '11.2.0.3.0' ORDER BY ACTION_TIME DESC; -- 正确结果：ACTION='APPLY', COMMENTS 字段含 '20760997' -- 检查关键视图是否可用（补丁修复的 CVE 通常涉及 V$ 视图） SELECT COUNT(*) FROM v$session_connect_info; -- 若返回正常数字（非 ORA-00942），说明字典对象已更新

注意：catbundle.sql执行时间取决于数据库大小，小型库约 3–5 分钟，大型库（>1TB）可能达 30 分钟。期间v$session_longops可查进度，勿中断。

5. 常见问题排查：五条高频翻车现场与救火指南

5.1 现象：OPatch failed with error code 73

原因：OPatch 版本过低（<11.2.0.3.0）或补丁包损坏（zip 解压不完整）。
解决：

1. opatch version确认 OPatch ≥ 11.2.0.3.0；
2. unzip -t p20760997_112030_Linux-x86-64.zip校验 zip 完整性；
3. 若校验失败，重新从 MOS 下载（注意选择 “Linux x86-64” 而非 “Generic” 版本）。

5.2 现象：ORA-01034: ORACLE not available启动失败

原因：补丁更新了$ORACLE_HOME/lib/libserver11.a等核心库，但ORACLE_HOME下lib目录权限被意外修改（如chmod 777 lib导致 Oracle 拒绝加载）。
解决：

# 重置 lib 目录权限（Oracle 11g 标准） cd $ORACLE_HOME chown -R oracle:oinstall lib chmod -R 755 lib # 特别检查 libserver11.a 权限 ls -l lib/libserver11.a # 应为 -rwxr-xr-x oracle oinstall

5.3 现象：catbundle.sql执行卡在BEGIN dbms_registry_sys.validate_catalog; END;

原因：补丁修改了sys.registry$表，但validate_catalog过程检测到字典不一致（常见于之前手工修改过registry$）。
解决：

-- 以 SYSDBA 登录，跳过验证（仅限紧急恢复） ALTER SESSION SET "_system_trig_enabled"=FALSE; @?/rdbms/admin/catbundle.sql cpu apply -- 执行后立即运行验证 @?/rdbms/admin/utlrp.sql -- 重新编译失效对象

5.4 现象：lsinventory显示补丁已应用，但SELECT * FROM v$version仍为 11.2.0.3.0.0

原因：v$version显示的是数据库软件版本号，补丁不改变此值；真正体现补丁的是dba_registry_history。
解决：
无需处理。只要dba_registry_history中有20760997记录，且opatch lsinventory显示20760997状态为Applied，即表示成功。v$version永远只显示基础版本。

5.5 现象：补丁后监听器启动报TNS-12547: TNS:lost contact

原因：补丁更新了$ORACLE_HOME/network/lib/libnsgl.so，但LD_LIBRARY_PATH未包含$ORACLE_HOME/lib。
解决：

# 检查监听器环境变量 lsnrctl status | head -5 # 若未显示 `LD_LIBRARY_PATH=...:$ORACLE_HOME/lib`，则编辑 $ORACLE_HOME/network/admin/listener.ora # 在文件开头添加： # setenv LD_LIBRARY_PATH $ORACLE_HOME/lib # 然后重启监听器 lsnrctl reload

6. 验证补丁生效：三类验证法，覆盖功能、性能、安全边界

6.1 功能验证：用 Oracle 官方测试用例复现 CVE 场景

补丁p20760997修复的是 CVE-2015-0377（Oracle Database Server Unspecified Vulnerability），其利用条件是：攻击者通过构造恶意DBMS_METADATA调用触发堆溢出。验证不能只看“不报错”，要主动触发原漏洞路径：

-- 以普通用户（非 SYS）登录 conn scott/tiger -- 执行原漏洞 POC（已脱敏，仅触发校验逻辑，不实际溢出） SELECT DBMS_METADATA.GET_DDL('TABLE','EMP','SCOTT') FROM DUAL; -- 若返回正常 DDL（CREATE TABLE ...），且无 ORA-600/ORA-7445 错误，则漏洞已修复 -- 若返回 ORA-31603（object not found）或 ORA-31608（not supported），属正常行为，非漏洞

提示：此测试不破坏数据，但需确保scott用户存在且emp表未被删。若环境无 scott，用SELECT DBMS_METADATA.GET_DDL('USER','HR') FROM DUAL;替代。

6.2 性能基线对比：补丁是否引入额外开销？

安全补丁常增加校验逻辑，可能影响高并发元数据操作。用 AWR 报告对比补丁前后 1 小时的DB CPU和parse time elapsed：

# 补丁前采集 AWR 快照（假设 snap_id 1000） # 补丁后采集新快照（snap_id 1001） # 生成对比报告 $ORACLE_HOME/rdbms/admin/awrrpti.sql # 输入：report_type=text, dbid=<your_dbid>, inst_num=1, num_days=1, begin_snap=1000, end_snap=1001 # 关键指标检查： # - SQL ordered by Parse Time：若 `DBMS_METADATA` 相关 SQL parse time 增长 >20%，需优化调用频次 # - Instance Efficiency Percentages：`Library Hit %` 应 >99%，若 <95% 则补丁可能影响共享池

6.3 安全扫描验证：用 Oracle 自带工具确认 CVE 关闭

Oracle 提供dbv（Database Verify）工具可扫描已知漏洞状态。虽然p20760997无专用扫描器，但可通过orachk（MOS ID 1268927.2）间接验证：

# 下载 orachk（需 MOS 账号），解压后运行 ./orachk -s -d $ORACLE_HOME -c "Security" # 输出中搜索 "CVE-2015-0377" # 正确结果：`Status: PASSED` 或 `Not Applicable (patched)` # 若显示 `FAILED`，说明补丁未生效或被绕过

6.4 回滚能力验证：补丁不是单行道，必须确认后悔药有效

真正的生产级验证，是证明你能安全退回。执行一次opatch rollback（不实际执行，只验证流程）：

# 模拟回滚（-dry_run 参数） cd /u01/stage/patches/p20760997/20760997 $ORACLE_HOME/OPatch/opatch rollback -id 20760997 -dry_run # 成功输出：`RollbackSession will not perform any action. It will only show what would be done.` # 且列出所有将被还原的文件（如 libserver11.a, libnsgl.so） # 真实回滚（仅限测试环境）： # $ORACLE_HOME/OPatch/opatch rollback -id 20760997 # 回滚后，再次 `opatch lsinventory` 应不再显示 20760997

从那以后我每次给生产库打 Oracle 补丁，都会在测试环境完整走一遍：prereq → apply → catbundle → 功能POC → orachk → rollback dry_run，六步缺一不可。不是为了炫技，而是因为某次跳过prereq，导致一套核心账务库补丁失败，回滚花了 4 小时——而prereq只要 5 分钟。希望帮到你。

本文还有配套的精品资源，点击获取