Перехват пакетов

tcpdump, wireshark

То что пакеты просто можно перехватить с помощью tcpdump я знаю. Вопрос как перехватить только траффик между конкретной прогой, по ее pid

netstat -nap|grep proga

>netstat -nap|grep proga

Спасибо. Просто я думал, что существут механизм перехватывать пакеты от процесса с таким-то pid.

Когда программа запускается она может установить соединение и закрыть его. И netstat нам ничего не покажет. Можно было бы на perl написать скрипт который делает fork, запускает перехват пакетов в дочернем процессе по его pid, а потом делает exec.

Вот нашел http://www.tcpdump.org/lists/workers/2004/03/msg00027.html Может что-то конкретное есть.

задай в tcpdump критерии по порту или хосту. Ведь наверняка известно, куда подключается программа. Или можно выяснить запуская tcpdump без критерия.

Еще как вариант можно использовать модуль owner для iptables:
iptables -I INPUT -m owner --pid-owner $PID -j LOG --log-prefix 'WINE traffic: '
iptables -I OUTPUT -m owner --pid-owner $PID -j LOG --log-prefix 'WINE traffic: '
а потом смотреть логи.

P.S. Для INPUT цепочки модуль owner, идущий с ядром, раньше не работал (не знаю как сейчас), зато тот, который из patch-o-matic, работал и для INPUT, и для OUTPUT.