tomcat的提供了一个非常方便的manager系统，可以远程上传war项目，运行项目，但是这也是一个非常危险的地方，我曾经开发过一块B/S架构的小系统，提供了本地文件扫描，文件浏览，扫描等功能，并且成功登陆同事的tomcat的manager系统（获得允许的情况下），上传自己的项目，并且下载和上传文件都可以，如果我再添加一个运行远程dos命令，执行上传的文件，简直可以在为所以为。
解决方法：删除webapps下的manager，找到conf文件下的tomcat-users.xml文件，打开并且删除多余的<user name="" password="" roles="manager-gui" />，修改默认密码。