packet capture 질문입니다.

리눅스에서 netfilter를 이용하는 커널 모듈을 이용하면 패킷을 캡쳐 할 수 있습니다.

static struct nf_hook_ops nfilter={.hook=mywork,
.pf=PF_INET,
.hooknum=NF_IP_NOCAL_IN,
.priority=NF_IP_PRI_FIRST}

IP를 기본으로 들어오는 패킷을 최우선처리하고 처리할때 mywork함수를 호출하라는 내용으로 netfilter를 만들고,

nf_register_hook(&nfilter)로 넷필터 등록이 가능하고,

unsigned int mywork(unsigned int hook_no,
struct sk_buff **pskb,
const struct net_device *dev_in,
const struct net_device *dev_out,
int (*handler)(struct sk_buff*))
hook_no는 후킹위치, pskb 는 sk버퍼를 가리키는 포인터, dev_in, dev_out은 송,수신 디바이스를 가리키는 포인터입니다.

보통 이렇게 해서 mywork에 제어할 내용을 넣어주면 되고요~ ^^

근데 이걸 하려면 일단 리눅스에서 사용하는 sk_buffer에 대해서 아셔야 하고요, wrapping, 커널 모듈에 대해서 아시면

쉽게 하실수 있으실 꺼예요~ ^^

허접한 답변이었지만... 도움이 되었으면 하네요~

moblock 이라는 것도 한 번 살펴보세요.
snort 보다 좀 더 단순한 구조를 가지고 있어서 원하시는 부분을 보기에는 더 편할거라고 생각되네요.