История изменений

Возможно это не точно, но кажется я сталкивался с тем, что у ntf небыло простого решения которое было в одном модуле у ipt

Да, есть такое местами. Пример хотя-бы, вон, выше с -m string который пока не реализован (я так понял, ждут в ядре решения). Единственный вариант, как в лоб заменить: парсить заголовок через raw payload expression и бинарно сравнивать с бинарным-же представлением строки. Ну, или выдумывать какую другую метрику.

Возможно это не точно, но кажется я сталкивался с тем, что у ntf небыло простого решения которое было в одном модуле у ipt

Да, есть такое местами. Пример хотя-бы, вон, выше с -m strings который пока не реализован (я так понял, ждут в ядре решения). Единственный вариант, как в лоб заменить: парсить заголовок через raw payload expression и бинарно сравнивать с бинарным-же представлением строки. Ну, или выдумывать какую другую метрику.