powershell.exe
مصطلحات البحث في الكتالوج powershell, windows powershell
Windows PowerShell 5.1. ملف pwsh.exe هو PowerShell 7. يمكن أن يتواجدا معاً. غالباً ما تكون نافذة وحدة التحكم conhost.exe.
ما تحتاج إلى معرفته
هذا هو Windows PowerShell 5.1. النص البرمجي في سطر الأوامر هو مصدر الخطر، وليس اسم المضيف.
powershell.exe هو Windows PowerShell. ملف pwsh.exe هو PowerShell الأحدث. ملف conhost.exe يرسم النافذة. وجود powershell.exe مخفي ناتج عن ماكرو word هو مسألة تتعلق بسطر الأوامر.
- هل هو آمن؟
- تحقق من مسار الملف قيد التشغيل وتوقيعه والناشر. لا يمكن للاسم وحده أن يثبت الأمان.
- هل هو مطابق لـ pwsh؟
- لا. pwsh هو PowerShell 7
- لماذا يتواجد conhost هناك؟
- تلك هي نافذة وحدة التحكم (console)
ما هو powershell.exe؟
powershell.exe هو Windows PowerShell 5.1، المرفق مع Windows. إنه ليس pwsh.exe، الذي تقوم بتثبيته كـ PowerShell 7 من Microsoft.
ما وظيفته؟
يقوم بتشغيل النصوص البرمجية وعناصر cmdlets. يمكن لسياسة التنفيذ حظر النصوص البرمجية المحلية غير الموقعة. تجاوز السياسة (bypass) في سطر الأوامر يعد علامة تحذيرية إذا لم تكن قد كتبته بنفسك.
لماذا يعمل؟
لقد قمت بفتح موجه أوامر، أو أن مهمة مجدولة أو برنامج تثبيت قام بتشغيل نص برمجي. تستخدم البرامج الضارة التي لا تعتمد على ملفات هذا المضيف أيضاً. المسار بالإضافة إلى سطر الأوامر يحددان حقيقة الأمر.
فحص المثيل قيد التشغيل
في Windows PowerShell، يسرد هذا الاستعلام للقراءة فقط معرفات العمليات المطابقة وأوقات الإنشاء ومسارات الملفات التنفيذية على هذا الكمبيوتر.
Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List
النتيجة غير الموجودة أو المسار غير القابل للوصول غير حاسمة. قد تقيد العمليات المحمية الوصول، ويمكن إعادة استخدام معرفات العمليات. احتفظ بالمسارات الشخصية محلية.
استخدم دليل هوية الملف لمقارنة التوقيعات وبيانات تعريف المنتج. لا يمكن لاسم الملف وحده إثبات الأمان.
هل هو آمن؟
المضيف شرعي. النص البرمجي هو محل التساؤل
ملف powershell.exe في System32 أو SysWOW64 هو مضيف Windows. الأمان يرتبط بالعملية الأصلية وسطر -Command / -EncodedCommand. الأحكام المعتمدة على اسم الملف فقط تفشل هنا.
قارن الموقع المسجل بالملف الفعلي. لا يثبت المجلد المألوف وحده الهوية.
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
- PowerShell 7 هو pwsh.exe
- المضيف بمعمارية 32-بت يقع تحت SysWOW64
- اقرأ الوسيطات دائماً
هل يمكنني إنهاؤه؟
يوقف هذا البرنامج النصي
إنهاء powershell.exe يوقف تلك الجلسة. إذا قامت مهمة بإعادة تشغيله، فابحث عن المهمة. إنهاء conhost.exe يكتفي بإغلاق النافذة فقط.
هل يمكنني إزالته؟
لا
لا تحذف powershell.exe. قم بتقييد تنفيذ النصوص البرمجية باستخدام السياسات إذا كان هذا الكمبيوتر مقيد الاستخدام. صيانة Windows تتطلب وجود المضيف.
هل ينبغي أن يبدأ مع Windows؟
وجود PowerShell في بدء التشغيل بنافذة مخفية يعد وسيلة للتحقق من ثبات التهديد (persistence). الاختصار التفاعلي الذي أنشأته أنت آمن ولا مشكلة فيه.
قياس استخدام الموارد
| وحدة المعالجة المركزية والذاكرة | قارن عدة ملاحظات لنفس معرف العملية (PID) وحمل العمل. لا يحتوي هذا الإدخال على خط أساس عالمي مقاس بشكل مستقل. |
|---|---|
| القرص والشبكة | عزو النشاط إلى العملية الفعلية والمهمة الحالية؛ لا يثبت اسم الملف وحده الوجهات المتوقعة أو حجم النقل. |
معلومات الملف
| اسم الملف التنفيذي | powershell.exe |
|---|---|
| مسار التثبيت المسجل | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe |
| الناشر | Microsoft Corporation |
| فحص التوقيع | افحص الملف الفعلي؛ لا يصدق هذا الإدخال على هوية شهادته. |
المشكلات الشائعة
EncodedCommand عند تسجيل الدخول
انسخ السطر وقم بفك تشفيره في محرر آمن. تلك هي الحمولة الفعلية، وليس الأمر مجرد أن "PowerShell فيروس".
الخلط بينه وبين cmd
ملفات الدُفعات (Batch) تتبع cmd.exe. ملفات تعريف PowerShell هي ملفات بدء تشغيل مختلفة.
استكشاف الأخطاء وإصلاحها
قم بالتشخيص قبل إجراء أي تغيير مدمر.
فحص معرف العملية الأصل (PID)
قيام winword بتشغيل powershell يشير إلى ماكرو في Office. قيام explorer بتشغيله بعد النقر على اختصار يعني أنه ناتج عنك.
لا تعطل PowerShell لإيقاف نص برمجي واحد
قم بإزالة المهمة أو المستند. المضيف مجرد أداة.
التفاصيل التقنية
التفاصيل التقنية
| اسم الصورة | powershell.exe |
|---|---|
| المثيل المماثل | pwsh.exe (PowerShell 7) |
التحقق من هوية ملف قيد التشغيل
لا يمكن لاسم الملف وحده إثبات الأمان. تحقق من المسار الفعلي والتوقيع وهوية المنتج.
المصادر والتحقق
تصنيف المصدر المسجل: أغسطس 2026. لا يثبت هذا التصنيف التحقق المستقل. كيف نقوم بالبحث.
- Microsoft Learn: PowerShell · Windows PowerShell و pwsh
- Microsoft Learn: conhost · مضيف نافذة وحدة التحكم
- مخطط عمليات Foxhole · عينات مباشرة مأخوذة من أجهزة كمبيوتر بنظام Windows. ليس معيارًا مخبريًا.
- Microsoft Sysinternals: Sigcheck · يشرح كيفية فحص توقيعات الملفات. لا يثبت هذا المرجع هوية أو أمان ملف قيد التشغيل بعينه.
- Microsoft: Get-CimInstance · طريقة استعلام عملية محلية للقراءة فقط.
- خصائص Microsoft: Win32_Process · توثق معرفات العمليات، والمسارات التنفيذية، وتواريخ الإنشاء، وإعادة استخدام معرف العملية الأصل.
هل كانت هذه المقالة مفيدة؟
يكفي الإجابة بنعم أو لا. اختر سببًا إذا أردت، أو أضف ملاحظة قصيرة.
شكرًا لك. يساعدنا هذا في تحسين هذه الصفحة.