Appunto, su un kernel Linux con ASLR non è possibile sapere a priori a che indirizzo verrà assegnato a una certa zona in memoria, quindi parlare di indirizzo *ESATTO* non ha senso. Nell'exploit si parte da 0xbffffffa (0xc0000000 - 6) come indirizzo di base dello stack, ma questo è vero solo in un sistema in cui non c'è l'ASLR e lo stack parte sempre da lì.