Dùng sau khi giải phóng

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

int main(int argc, char **argv)
{
    char *a = malloc(32);

    if (a == NULL) return 1;

    strcpy(a, "du lieu goc");

    free(a);

    if (argc > 1) {
        char *b = malloc(32);      /* rất có thể lấy lại đúng khối của a */

        if (b != NULL) strcpy(b, "du lieu moi");
    }

    printf("[%s]\n", a);          /* dùng sau khi giải phóng */

    return 0;
}

Bước 1. Chương trình cấp một struct chứa con trỏ hàm và giải phóng nó,
        nhưng vẫn giữ con trỏ.

   [ so_hieu | con_tro_ham ]   <- khối 16 byte, đã free nhưng p vẫn trỏ tới

Bước 2. Kẻ tấn công gửi dữ liệu khiến chương trình gọi malloc(16)
        và ghi dữ liệu do họ chọn vào đó.

   [ 41414141 | dia_chi_ma_cua_ke_tan_cong ]

Bước 3. Chương trình gọi p->con_tro_ham(), tưởng vẫn là hàm cũ.

   Nhảy thẳng vào mã của kẻ tấn công.

char *p = malloc(64);

strcpy(p, "bi mat");

free(p);

printf("%s\n", p);      /* đọc dữ liệu đã trả lại, có thể lộ thông tin */

char *p = malloc(64);

free(p);

strcpy(p, "du lieu moi");   /* phá dữ liệu của người khác, hoặc phá sổ sách */

typedef struct Nut {
    int         gia_tri;
    struct Nut *tiep;
} Nut;

void huy_sai(Nut *dau)
{
    while (dau != NULL) {
        free(dau);
        dau = dau->tiep;      /* đọc trường của nút VỪA giải phóng */
    }
}

void huy_dung(Nut *dau)
{
    while (dau != NULL) {
        Nut *tiep = dau->tiep;   /* lưu TRƯỚC khi giải phóng */

        free(dau);
        dau = tiep;
    }
}

typedef struct { char *ten; } Nguoi;

Nguoi      *ds = malloc(10 * sizeof *ds);
const char *t;

ds[0].ten = malloc(64);
strcpy(ds[0].ten, "An");

t = ds[0].ten;         /* mượn con trỏ vào bên trong */

nguoi_huy(&ds[0]);     /* giải phóng ds[0].ten */

printf("%s\n", t);    /* t treo */

CC      = gcc
CFLAGS  = -std=c17 -Wall -Wextra -g
SAN     = -fsanitize=address,undefined -fno-omit-frame-pointer

.PHONY: all test phat-hanh sach

all: bai

bai: bai.c
	$(CC) $(CFLAGS) -O2 bai.c -o bai

test: bai.c test.c
	$(CC) $(CFLAGS) $(SAN) -O1 bai.c test.c -o chay-test
	./chay-test
	valgrind --leak-check=full --error-exitcode=1 ./chay-test

phat-hanh: bai.c
	$(CC) -std=c17 -Wall -Wextra -O2 -DNDEBUG bai.c -o bai

sach:
	rm -f bai chay-test