По мойке, при Full RELRO и PIE с glibc 2.35+ проще брать heap leak через IO_2_1_stdout, если есть возможность вызвать partial overwrite на структуре _IO_file. У unsorted bin из-за safe-linking и размера чанка часто сильно сложнее выдергать полезный хэндл. Для DynELF после утечки libc обычно делаю небольшой ROP с puts на stdout-файл и дамплю адреса оттуда. Это стабильнее в современных билдах.