因为要复现CVE-2018-8961，CVE-2018-8962，CVE-2018-8963这三个UAF漏洞，所以需要安装libming。由于安装过程中报了几个错误，故记录于此。
建议用ubuntu 18.04复现，应该编译没什么大问题。用ubuntu 20.04出现了很多小问题，不过不妨碍复现漏洞。
提出漏洞的issue链接：https://github.com/libming/libming/issues/130
虽然看起来好像和之前的CVE有些重复，但不妨碍复现。
安装libming
按如下命令安装：
git clone https://github.com/libming/libming.git
cd libming
# 切换到有漏洞的分支
git checkout libming-0_4_8
./autogen.sh
./configure --disable-freetype --disable-shared
make
因为只是复现漏洞，所以这里就不make install安装到/usr下了。
进入libming/util下可以看到漏洞二进制程序swftophp。
安装时遇到的两个错误
（1）运行./configure时，报以下错误：
configure: error: Could not detect freetype-config!
按提示安装sudo apt-get install libfreetype6 libfreetype6-dev并没有解决。
在一顿搜索下，说是要源码安装，源码安装也没有解决。最后加个disable-freetype的参数解决了。但是在ubuntu 18.04没有遇到这个错误。
（2）在ubuntu 20.04下make的话可能会报错：
/usr/bin/ld: …/src/.libs/libming.a(swf5compiler.tab.o)😦.bss+0x44): multiple definition of `swf5debug’; …/src/.libs/libming.a(lex.swf5.o)😦.bss+0x0): first defined here
在ubuntu 18.04也重新编译了下，没有报这个错误。
在ubuntu 20.04 下，这条错误可以在configure那边加个–disable-shared的参数，就能成功编译swftophp这个有漏洞的二进制。（虽然最后还是会报错，但是对于复现漏洞而言，已经成功了2333
复现漏洞
下载poc
wget https://github.com/libming/libming/files/1844941/libming_poc.zip
unzip libming_poc.zip
由于没有开启ASAN编译选项，就用valgrind
如果没有安装valgrind，执行命令apt-get install valgrind安装一下。
# 在libming/util目录下
valgrind ./swftophp [poc所在的目录]
poc 所在的目录下其中三个poc对应着这三个PoC。
复现CVE-2018-8961，得到如下结果：
58708 Process terminating with default action of signal 11 (SIGSEGV)
58708 General Protection Fault
58708 at 0x11227F: strlenext (decompile.c:237)
58708 by 0x11227F: getName (decompile.c:398)
58708 by 0x112A8C: decompilePUSHPARAM (decompile.c:781)
58708 by 0x1164B1: decompileSETMEMBER (decompile.c:1690)
58708 by 0x1164B1: decompileAction (decompile.c:3202)
58708 by 0x11927B: decompileActions (decompile.c:3401)
58708 by 0x11927B: decompile5Action (decompile.c:3423)
58708 by 0x10F366: outputSWF_DOACTION (outputscript.c:1547)
58708 by 0x10C875: readMovie (main.c:277)
58708 by 0x10C875: main (main.c:350)
issue的结果是：
可以看到漏洞的trace是相同的，就是对应的行号不太一样。明明都是0.4.8版本，我也很困惑。
漏洞成因
根据trace来看的话，说是237行的str指针导致了UAF。
那么这个str指针是从哪里来的，再往回看，可以看到398行这里给strlenext函数传入了指针pool[act->p.Constant8]。也就是这个指针之前在哪里被释放过了。
后面根据现有的trace就比较难找到到底是哪里free了这个指针。需要结合其他的crash triage工具来做了。