用途：面向授权设备的移动取证，覆盖设备备份/镜像的数据提取、应用数据取证、删除恢复与时间线重建；也用于应用数据落盘路径解析、备份前后时间点对比、单应用单表轻量定向提取、删除数据可恢复性评估，以及设备离线或损坏时对已有备份文件的解析。App 逆向分析、通用文件系统分析、运行中进程动态提取、云备份/云同步数据、无授权设备均不在本技能范围。
主要能力：Android 侧支持 adb backup 全量与单应用备份、run-as 沙箱读取、root 设备 dd 镜像与 adb pull；iOS 侧支持 idevicebackup2 备份及 Manifest.plist/Manifest.db 结构解析。可解析 ab 格式（魔数 ANDROID BACKUP、压缩/加密标志、可选 AES-256-CBC、tar 负载），用 abe 解包、sqlite3 读库、foremost 雕刻未分配空间，并重建时间线、交叉验证恢复数据。
必要用法：工具包括 adb、libimobiledevice、abe、sqlite3、foremost、python3。示例命令：adb backup -f backup.ab -all；adb backup -f app.ab -apk -noobb com.target.app；adb shell run-as com.target.app ls data；adb exec-out run-as com.target.app cat files/x.db > x.db；java -jar abe.jar unpack backup.ab backup.tar；idevicebackup2 backup ./backup_dir。流程为隔离（断网/飞行模式）→记录设备状态→只读提取优先→产物存档（路径+sha256）。
限制：Android 12 起 adb backup 弃用，targetSDK 31+ 应用数据不再导出；allowBackup=false 备份为空；硬件 Keystore 密钥不可导出；加密备份无密码则标注不可提取；FBE/全盘加密下未分配页为密文，雕刻无效；iOS 备份文件按 fileID（路径派生 SHA1）命名，需先解析 Manifest.db 映射；时间线需统一 UTC 并标注设备时区；多设备需用 -s <serial> 指定。其余细节暂未提供。