表结构如下所示:
- show create table test\G
- Table: test
- Create Table: CREATE TABLE `test` (
- `id` int(10) unsigned NOT NULL AUTO_INCREMENT,
- `id2` varchar(50) DEFAULT NULL
- `id3` varchar(100) DEFAULT NULL
- `some_text` varchar(200) DEFAULT NULL
- `name` varchar(20) DEFAULT NULL
- `another_text` varchar(500) DEFAULT NULL
- `ctime` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP,
- PRIMARY KEY (`id`)
- ) ENGINE=InnoDB AUTO_INCREMENT=1024 DEFAULT CHARSET=utf8
对 mysql 执行如下语句:
- select count(distinct(id2))
- from santo_test
- where id3 = 'hahaha'
- group by substr(ctime, 0, 10)
会导致mysql crash(signal 11)。
崩溃堆栈如下:
- pthread_kill ()
- handle_segfault (sig=11)
- <signal handler called>
- ptr_compare ()
- queue_insert ()
- merge_buffers()
- merge_many_buff()
- filesort()
- create_sort_index()
- JOIN::exec()
- mysql_select()
- handle_select()
- execute_sqlcom_select()
- mysql_execute_command()
- mysql_parse()
- ...
官方bug传送。
Bug复现小贴士
一条select语句搞挂MySQL Server? 当然还是需要苛刻条件的:
, 和足够量大的数据撑满 sort_buffer,如@@sort_buffer_size = 32768时,40行数据就可以触发;
- sort_buffer_size
BOOM!
搞完破坏, 我们来看问题怎么解。
在看到触发 crash 语句的时候,一定有读者发现哪里不对了。这里使用的 substr(some_string, 0, some_length) 这样的写法,而官方文档中 substr 函数的 @param2 实际上是从1开始计算,当起始位置置为0的时候,这条语句返回值其实是空的。当然,最终导致压坏 mysql server 的一根稻草,正是这个长度为0的字符串。
现在我们沿着执行路线来探索 mysql 是如何一步步挂掉的,在 select 语句中使用 order by/group by 语句时,server 通常调用排序,主要通过索引或者 filesort 来实现排序,在 group by/order by 的列上不存在索引时,server 会选择使用 filesort,其主要逻辑见 filesort.cc:filesort()。这里还会涉及到一个变量,
,当需要排序的数据量超过
- sort_buffer_size
大小时,server 会将数据划分为 trunks,这时调用
- sort_buffer_size
。随后一路调用到 mysys/ptr_cmp.c 文件中的比较函数,这里的比较函数是按字节进行的,每四个字节为一个比较单位,当传入的参数长度小于4时,会调用
- merge_many_buffers()
,而在上节的调用栈可以看到,最后 crash 就是在这个函数里。函数槽点如下:
- ptr_compare()
- static int ptr_compare(size_t *compare_length, uchar **a, uchar **b)
- {
- reg3 int length= *compare_length;
- reg1 uchar *first,*last;
- first= *a; last= *b;
- while ( --length)
- {
- if (*first++ != *last++)
- return (int) first[-1] - (int) last[-1];
- }
- return (int) first[0] - (int) last[0];
- }
在 lengh == 0 时,while 里就会根本停不下来,直到被比较的两位指针不停自加到一个不能访问的内存区域,逼迫系统用 signal 11 杀死 mysql server。
比较长度为0的字符串本身是个意外, 所以解决方案就是添加一个辅助函数
,在 length 为0时直接返回0,在做排序函数分派时,将长度为0的比较指派到
- ptr_compare_length_zero
。 因此,想搞挂MySQL Server,这条路已经被堵上了,还是多修bug少搞破坏比较好 :-)
- ptr_compare_length_zero
来源: http://mysql.taobao.org/monthly/2015/11/08/