用途：针对以 iOS 形态交付的目标（App Store、TestFlight、企业/Ad-hoc 分发）执行端到端红队流程，常与 Android 侧 apk-redteam-pipeline 配合使用。适用触发条件包括目标发布者页下有 1 个以上应用、存在 TestFlight 公开链接或 OTA 安装的 ipa/manifest.plist、目标含 iOS 范围的漏洞赏金项目等；不适用于纯 Android 目标、已由 Web 侧 JS 分析覆盖的 React Native/Flutter 应用或纯服务端评估。
主要能力与流程：阶段 0 用 iTunes 搜索/查询 API 枚举组织所属应用与开发者账号；阶段 1 获取 IPA（真机经 Apple Configurator 2、Xcode 或 libimobiledevice/ideviceinstaller 导出；TestFlight 公开链接；企业/Ad-hoc 分发的 manifest.plist 中 software-package 直链），企业/Ad-hoc 包通常无 FairPlay 加密，App Store 包若来自越狱设备需用 frida-ios-dump、bagbak、flexdecrypt 等运行时解密。阶段 2 解包 IPA，用 plutil 读取 Info.plist，codesign 或 security cms 读取 entitlements，class-dump 恢复 Objective-C 类与符号，Swift 二进制改用 Hopper、Ghidra、nm、strings。阶段 3 用正则检索 URL、AWS/Google/JWT 等凭据，检查 GoogleService-Info.plist、bundle 内其他 plist、ATS 例外，以及设备备份或越狱设备 keychain-dumper 中的钥匙串项。阶段 4 检查 NSAppTransportSecurity（如 NSAllowsArbitraryLoads、按域例外、Web 内容例外），并用 objection ios sslpinning disable 或维护良好的 Frida BoringSSL 层绕过脚本处理证书固定。阶段 5 枚举 CFBundleURLTypes 自定义 scheme 与 com.apple.developer.associated-domains 通用链接，拉取 apple-app-site-association 并测试参数注入、开放重定向与 scheme 抢占。阶段 6 在越狱设备或 Corellium 上运行 frida-server，用 objection 做类/方法 hook、keychain/plist/cookie 导出，绕过固定后用 mitmproxy 抓包（iOS 需在证书信任设置中额外开启完全信任）。
必要用法：需在授权范围内操作；越狱测试设备或虚拟设备用于运行时插桩，勿在个人或生产 Apple ID 设备上运行 Frida；安装命令保持原样，例如 brew install libimobiledevice ideviceinstaller class-dump 与 pip install --break-system-packages frida-tools objection iphone_backup_decrypt。发现项可按资料给出的决策树衔接 hunt-shadow-api、hunt-api-misconfig、cloud-iam-deep 等技能。限制：资料未提供具体收费、价格、许可与平台支持细节，相关内容暂未提供。