O SOCK_RAW permite tanto receber quanto enviar pacotes. A principal utilidade de SOCK_RAW é implementar novos protocolos de transporte em userspace (fora do kernel). Por exemplo, um programa que use pacotes ICMP como o ping tem de ser implementado usando esse tipo de socket.
Para fazer sniffing você estará muito mais bem servido usando libpcap, que inclusive é portável. Outra vantagem do libpcap é a eficiência: você pode filtrar por muitos parâmetros além do protocolo, e esse filtro BPF é literalmente compilado dentro do kernel para obter máxima eficiência.
Mas sim, um socket SOCK_RAW pode ser usado para "sniffar" pacotes.
O parâmetro buf é um ponteiro para um buffer (pode ser uma variável tipo char bla[4096]) com espaço suficiente para receber os pacotes.
O formato interno dos dados que você vai encontrar nesse buffer varia conforme o protocolo que você escolheu como "filtro". Por exemplo, se o protocolo for IPPROTO_RAW, você vai receber todos os pacotes IP, portanto o início do buffer conterá o cabeçalho IP, que você vai ter de parsear para descobrir o protocolo de transporte. Se usar IPPROTO_UDP, o início do buffer conterá o cabeçalho UDP, mas não o cabeçalho IP. E se usar htons(ETH_P_ALL), vai receber o pacote Ethernet inteiro, o início do buffer vai ter o cabeçalho da camada de enlace.
O parâmetro flags pode ser 0 ou pode receber um valor que modifica o comportamento da função. Há muitos deles, por exemplo o valor MSG_DONTWAIT faz a função retornar imediatamente se não há um pacote pronto para ser lido (ou seja, a função opera em modo não-bloqueante).
Esta página possui diversos exemplos de uso de SOCK_RAW: http://www.pdbuchan.com/rawsock/rawsock.html