Не посоветуете краткий обзор, как работает tcpdump и libpcap?
Примерно понятно, что вот вот делается какой-то специальный сокет, к которому еще и добавляется фильтр: setsockopt(sockfd, SOL_SOCKET, SO_ATTACH_FILTER, &Filter, sizeof(Filter));
А временные метки кто ставит? ядро?
