Tomcat shutdown 与 8005 端口
8005 是 Apache Tomcat 的内务端口：默认接收约定字符串以关闭实例，标准配置中仅监听本机回环地址，与 AJP 8009、HTTP 8080 常被合称三件套。它的设计前提是本机可信，一旦绑定到网络地址，任何能连上的客户端发一条约定字符串就能停掉服务，属于门槛极低的拒绝服务。
基本信息
| 服务 | Apache Tomcat shutdown 端口 |
|---|---|
| 端口/协议 | TCP 8005，默认仅本机回环 |
| 配置位置 | server.xml 中 Server 元素的 port 与 shutdown 属性 |
| 配套端口 | 8080 为 HTTP 连接器，8009 为 AJP 连接器 |
| 权限要求 | 系统管理员，配置文件权限应严格控制 |
| 安全等级 | 仅本机，改为对外监听即存在风险 |
典型使用场景
- 版本核对：确认默认端口与关闭字符串是否被改动
- 安全基线：检查关闭端口是否绑定到回环地址
- 排障：服务无法正常停止时核对端口与字符串配置
- 加固：业务上不需要时直接禁用该端口
- 资产盘点：识别仍使用默认配置的实例
绑定核对与禁用
绑定核对与禁用
ss -lntp | grep 8005 # 确认绑定地址是 127.0.0.1
# 禁用示例：server.xml 中把 Server 的 port 改为 -1
# <Server port="-1" shutdown="SHUTDOWN">
catalina.sh stop # 正常的停止方式
# 改完先校验配置再重启，避免应用起不来三件套端口对照
| 端口 | 角色 | 安全要点 |
|---|---|---|
| 8005 | 关闭指令端口 | 仅本机，不需要时禁用 |
| 8080 | HTTP 连接器 | 对外服务入口，注意版本与响应头信息 |
| 8009 | AJP 连接器 | 仅与前置服务互通，历史漏洞较多 |
| 改绑后的 8005 | 管理面暴露 | 任何人可发送关闭指令 |
运维要点
- 配置基线里固定记录关闭字符串与绑定地址，变更走流程
- 容器与镜像模板同步修正，避免新实例沿用错误配置
- 服务异常停止时先核对端口绑定与连接记录，再怀疑程序缺陷
- 把 8080 与 8009 的暴露范围一并规划，不要只盯关闭端口
- 升级 Tomcat 时复查配置模板，防止加固项被覆盖
Tomcat 的关闭端口不是服务端口，只在收到匹配字符串时触发停止。排查服务异常停止时，先确认它是否被改绑到非回环地址，再看是否有外部连接记录。
把 8005 暴露到网络并沿用默认关闭字符串，等于给出一个无需认证的停机开关，探测类健康检查也可能误触发。务必只绑本机或直接禁用。