tomcat7 bin目录下被人挂入木马文件

tomcat7 bin目录下被人挂入木马文件。不知道是什么原因？tomcat没有开启manager功能，即webapps没有任何项目，tomcat-users.xml也没有配置用户。用的是struts2 2.3，是不是struts2 漏洞?!

猜测项目中有文件上传功能，然后没有限制上传类型，先导致别人上传了jsp小马文件，在用小马上传脚本