Bugku 326 Baby-heap1 题解：glibc 2.23 堆溢出到 FSOP 劫持 _IO_list_all（附完整 exp）这是一道很典型的 glibc 2.23 堆题：程序提供 10 个堆块槽位，Edit 的写入长度完全由用户决定，Show 以 %s 直接打印堆块内容。利用路径是 unsorted bin 泄漏 libc → fastbin fd 泄漏堆地址 → 堆上伪造 _IO_FILE → fastbin attack 把 _IO_list_all 改成假 FILE → exit 触发 _IO_OVERFLOW 调用 system("/bin/sh")，全程不需要 __malloc_hook/__free_hook。