Web-Recon — wat lekt uw browser?
Wat is dit?
Module 2 van de Werkplek-Beveiliging-Test. Deze pagina draait volledig in uw browser. U hoeft niets te downloaden, niets te installeren, geen .bat te draaien.
U ziet hieronder welke informatie een willekeurige website over uw werkplek kan zien — zonder dat u er iets voor doet, of na één klik, of na expliciete toestemming via een browser-popup.
Niets wordt opgeslagen op onze server: geen logging van uw IP, geen analytics, geen third-party tracking. Bevindingen blijven in uw browser.
A. Passive recon — automatisch geladen
Geen klik, geen permission. Onderstaande verschijnt zodra deze pagina opent.
| Test | Waarde | Status |
|---|
B. Server-side recon — wat onze server van u ziet
Headers + IP die uw browser naar deze webserver heeft gestuurd. Vooraf gehaald, niet opgeslagen.
Laden van server-view.php...
C. Eén klik — geen permission-popup nodig
Klik op een test. Geen browser-prompt; alleen een user-gesture.
| Test | Effect | Status |
|---|---|---|
| C1 — Clipboard schrijven (paste-jacking)Plant tekst in uw klembord. Een aanvaller zou hier shell-commando's neerzetten en wachten tot u plakt. | — | |
| C2 — Download `.bat` aanbiedenEen legitiem-ogende download zonder dat u op iets klikt — alleen op deze knop. | — | |
| C3 — ms-settings URL-handlerOpent Windows Instellingen. Een aanvaller kan zo Defender-config tonen of UAC-instellingen openen. | — | |
| C5 — Tab-napping (titel + favicon wijzigen)Browser-tab op de achtergrond verandert van uiterlijk om er als bv. Gmail uit te zien. | — | |
| C7 — Print-dialoog forcerenOnbedoeld printen van een nep-document met "wachtwoord-reset confirmatie". | — |
ms-word:). Wel beschreven in gevaren-analyse — om de awareness-tool zelf geen offensive tool te maken.D. Browser-popup verschijnt — expliciete toestemming
Browser vraagt u toestemming. Klik "Toestaan" en u ziet wat de site mag.
| Test | Wat de site krijgt | Status |
|---|---|---|
| D1 — Geolocation (GPS)Exacte coördinaten — bij grant fijner dan IP-geolocatie. | — | |
| D2 — Camera + microfoonVolledige video+audio stream — bij grant ook camera-merk/-model. | — | |
| D3 — MediaDevices (zonder permission)Aantal en types camera's/mics. Mèt D2-permission ook labels. | — | |
| D4 — Clipboard lezenInhoud van uw klembord — mogelijk wachtwoord dat u net kopieerde. | — | |
| D5 — NotificationsPersistente notificaties tonen — ook offline via ServiceWorker. | — | |
| D7 — Bluetooth devicesScan + connect met Bluetooth-devices in de buurt (Chromium-only). | — | |
| D8 — USB devicesToegang tot USB-devices (yubikeys, smart-card readers). | — | |
| D10 — Serial poortenToegang tot seriële apparaten (industrieel, debug-poorten). | — |
E. Network side-channel — interne scan via timing
Geen permission nodig — wel netwerk-luidruchtig. Uw IDS/EDR kan dit zien als verkenning.
F. Phishing-protocol-abuse — klik → AsInvoker code-execution
Hoe een aanvaller via een gewone link in browser/mail code laat uitvoeren op uw werkplek — zonder dat u een .exe downloadt. Live demos zijn inert.
| Test | Effect | Status |
|---|---|---|
F1 — search-ms: protocolOpent Windows-zoekvenster — een echte aanvaller voegt crumb=location:\\evil\share toe om een externe SMB-share te tonen. | — | |
F2 — wt:// Windows TerminalOpent Terminal default-profile — een echte aanvaller voegt startup-commando toe. | — | |
F3 — .hta downloadHTML Application. Dubbelklik runt mshta.exe als Local System Object Model met VBScript/JScript-access. | — | |
F4 — .lnk met PowerShell-targetShortcut waarvan Target=powershell.exe arbitrary args. In echte aanval verpakt in password-ZIP. | — |
Samenvatting + export
Alle bevindingen blijven in deze pagina. Geen server-side opslag.