Чисто по делу: обычно беру unsorted bin leak, если размер чанка подходит. Через tcache safe-linking прям так просто не пройдёшь, а unsorted bin классика, с ним проще libc и heap адреса вытягивать. Для DynELF отлично работает, можно потом ROP на libc строить без проблем. PIE и Full RELRO усложняют задачу, но с таким подходом легче. Главное — внимательно размеры чанков и аллокации подбирать.