AWR不能直接识别SQL注入，因其仅存储脱敏后的SQL模板和聚合统计，不记录原始参数值或标记注入行为；但可通过同一SQL_ID下执行时间、逻辑读、返回行数的剧烈波动及执行计划频繁跳变来间接定位可疑模板，并需结合ASH分析等待事件、调用来源和采样规律交叉验证。
不能靠awr直接识别sql注入，它只记录聚合统计，不存参数值、不标记注入行为——但能帮你锁定被注入拖垮的sql模板，并交叉验证执行计划跳变、响应时间毛刺和资源倾斜。
为什么AWR本身不显示“这是SQL注入”
AWR快照里没有sql_text的原始参数值，只存脱敏后的sql_id和哈希后的语句骨架（比如SELECT * FROM users WHERE id = ?）。攻击者传入' OR SLEEP(5) --或1 AND (SELECT COUNT(*) FROM all_tables) > 0，AWR照样归为同一个sql_id，根本看不出异常。
真正暴露注入痕迹的是：同一sql_id下，不同执行的elapsed_time、buffer_gets、rows_processed方差极大，且执行计划频繁切换。
- AWR不记录单次查询的
query_time，只存平均值、最大值、标准差——所以必须看DBA_HIST_SQLSTAT里的elapsed_time_max/elapsed_time_avg比值是否 > 15 - 别只查
Elapsed Time Per Exec，要同步看Buffer Gets Per Exec和Rows Processed Per Exec是否同步剧烈波动 -
SQL_ID相同但PLAN_HASH_VALUE在多个快照中来回跳，说明参数触发了不同访问路径（如索引失效→全表扫描），这是盲注典型信号
怎么从AWR里揪出可疑SQL模板
重点不是找报错SQL，而是找“本该快却忽慢”的模板。打开AWR报告后，按以下顺序筛：
- 先去“SQL Ordered by Elapsed Time”页，挑
Executions≥ 10 且Elapsed Time Per Exec> 200ms 的条目 - 再进“SQL ID”详情页，看
Elapsed Time Max是否远超Avg（比如max=3.2s，avg=42ms → 比值≈76） - 对比相邻两个快照的
Rows Processed：如果一个快照是1行，下一个变成12843行，且Buffer Gets同步暴涨5倍，基本可断定参数控制了扫描范围 - 用
SELECT * FROM TABLE(DBMS_XPLAN.DISPLAY_AWR('your_sql_id', NULL, NULL, 'ADVANCED'))查历史执行计划，确认Note里有没有SQL plan baseline used——没这行，说明优化器每次都在重新计算，极易被参数诱导跳变
必须配合ASH交叉验证的三个关键点
AWR告诉你“哪条SQL有问题”，ASH告诉你“为什么出问题、谁在调用、在哪卡住”。漏掉ASH，90%的注入点会误判为普通慢SQL。
- 查
v$active_session_history时加WHERE sql_id = 'xxx' AND session_state = 'WAITING'，重点看event是不是db file scattered read或direct path read——如果是，且p3（块数）长期>1000，说明参数触发了全表扫描 - 用
module和client_id反推调用来源：如果module是WebServer但client_id为空或为随机字符串（如user_abc123），大概率是未走业务框架的直连请求 - 检查
sample_time分布：注入试探常呈脉冲式，比如每分钟一次SLEEP(1)，ASH里会看到严格等间隔的采样尖峰，而正常业务请求是泊松分布
容易被忽略的陷阱：连接池阻塞掩盖真实根因
一条注入SQL跑5秒，会把连接池里同一连接卡住，后续5个正常请求排队等待——AWR里你看到的是“Top SQL”里一堆log file sync或enq: TX - row lock contention，但根源其实是第一条被注入的SQL。
这时候必须回溯：SELECT sql_id, blocking_session, event FROM dba_hist_active_sess_history WHERE sample_time > SYSDATE - 1/24 AND event IN ('log file sync', 'enq: TX - row lock contention') ORDER BY sample_time，顺着blocking_session往上追，直到找到源头sql_id。
真正难的不是发现慢SQL，而是确认它慢得“不合理”——参数微小变化导致资源消耗指数级增长，这才是注入最危险的特征。
