未遵循基本安全实践，测试帐号未被保护且权限巨大，导致攻击者在内网漫游近两月。