직접적으로 어디를 덮어야 한다는 힌트를 드리기엔 너무 문제가 쉬워지므로 덮을 후보를 찾는 방법을 알려드리겠습니다. 다른 질문 글의 답변에서 보면 알 수 있듯이 이 문제는 0.5 byte brute force(1/16)을 통해 libc 내부의 특정 장소에 할당을 받아 leak을 진행하실 수 있습니다. 따라서 main_arena에서 ASLR에 의해 프로세스가 실행 될 때마다 변하는 부분의 주소를 16개의 hex값으로 대체해 보면서 RIP를 직접적으로 조작할 수 있는 곳을 찾아보시면 좋을 것 같습니다. 더 궁금한 점이 있으시다면 discord haehet_으로 DM 주세요!