用途：作为$ctf-sandbox-orchestrator的下游专项技能使用，仅在编排器已激活并确立沙箱假设、节点归属与证据优先级后启用；若尚未激活，应先回到$ctf-sandbox-orchestrator。适用于关键路径依赖真实iOS信任边界，而非仅靠静态字符串或plist值判断的场景。
主要能力：先做静态iOS分诊，梳理bundle结构、Info.plist、entitlements、URL schemes、通用链接、内嵌框架与app group路径，记录请求签名、设备绑定、证书校验、越狱检测、Keychain访问或本地缓存等信任边界，并判断敏感逻辑位于Objective-C、Swift、内嵌框架还是内嵌Web界面。随后对运行时边界进行Hook，优先选择请求构造器、加密辅助函数、信任评估器、Keychain读取或Objective-C selector，而非宽泛的UI处理；在改变服务器接受结果的边界记录明文输入、头部、nonce、签名串与输出；仅在足以暴露真实请求路径的范围内绕过证书固定或环境检查。最后重建最小有状态序列：本地令牌、设备标识、请求体、签名、头部与信任检查，并将hook日志、bundle路径、plist键与本地存储产物关联到同一会话或账号状态。
使用方式：保留原始IPA、解包bundle及任何解密或重签名副本作为独立产物；从Info.plist、entitlements、URL schemes、frameworks、Keychain使用和本地存储入手，再展开运行时Hook；选定最窄的运行时边界；将静态bundle证据与实时Hook输出相互印证后再声称理解信任路径；用最小的hook集复现被接受的请求、令牌或受控分支。
限制与边界：若任务重心从iOS运行时转向变换恢复，应切回更宽泛的加密或移动端技能。需加载references/ios-runtime.md获取hook目标、存储清单与证据打包要求。回复默认使用简体中文，除非用户明确要求英文。