عدي للمحتوى

powershell.exe

عملية تطبيقMicrosoft Corporation

مصطلحات البحث في الكتالوج powershell, windows powershell

Windowsتطبيق

Windows PowerShell 5.1. ملف pwsh.exe ده PowerShell 7. الاتنين ممكن يبقوا موجودين مع بعض. نافذة الكونسول غالباً بتبقى conhost.exe.

اللي محتاج تعرفه

ده Windows PowerShell 5.1. السكريبت المكتوب في سطر الأوامر هو الخطر، مش اسم المضيف نفسه.

ملف powershell.exe هو Windows PowerShell. ملف pwsh.exe هو الإصدار الأحدث من PowerShell. ملف conhost.exe هو اللي بيرسم النافذة. وجود powershell.exe مخفي من ماكرو وورد ده حوار سطر أوامر.

آمن؟
اتأكد من مسار الملف اللي شغال، وتوقيعه، وجهة النشر بتاعته. مجرد اسم الملف لوحده ما يثبتش إنه آمن.
هو نفسه pwsh؟
لأ. pwsh ده PowerShell 7
ليه conhost موجود هناك؟
دي نافذة الكونسول (console window)
Feex بتقولك
عمري ما باقول على powershell.exe إنه فيروس لمجرد إنه شغال. أنا باقرا سطر الأوامر الأول. المشكلة بتبقى لما تلاقي مضيف موقع رسمياً بيشغل سكريبت من مجلد Temp.

إيه هو powershell.exe؟

ملف powershell.exe هو Windows PowerShell 5.1، بينزل جاهز مع Windows. مش هو pwsh.exe، اللي بتثبته باسم PowerShell 7 من مايكروسوفت.

بيعمل إيه؟

بيشغل السكريبتات وأوامر cmdlets. سياسة التنفيذ (Execution policy) ممكن تمنع السكريبتات المحلية غير الموقعة رقمياً. وجود أمر تجاوز (bypass) في سطر الأوامر يعتبر علامة خطر لو ما كنتش أنت اللي كاتبه.

ليه شغال؟

أنت فتحت نافذة أوامر، أو فيه مهمة مجدولة (scheduled task) أو مثبت برامج هو اللي شغل سكريبت. البرمجيات الخبيثة بدون ملفات (Fileless malware) بتستغل المضيف ده برضه. المسار مع سطر الأوامر هما اللي بيحددوا الموضوع إيه.

فحص النسخة قيد التشغيل

في Windows PowerShell، يسرد هذا الاستعلام للقراءة فقط معرفات العمليات المطابقة، وأوقات الإنشاء، ومسارات الملفات التنفيذية على هذا الكمبيوتر.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

لا يوجد نتيجة أو مسار غير قابل للوصول يعتبر غير حاسم. قد تقيد العمليات المحمية الوصول، ويمكن إعادة استخدام معرفات العمليات. احتفظ بالمسارات الشخصية محلية.

استخدم دليل هوية الملف لمقارنة التوقيعات وبيانات التعريف الخاصة بالمنتج. اسم الملف وحده لا يمكن أن يثبت الأمان.

هل هو آمن؟

المضيف شرعي وسليم. السكريبت نفسه هو اللي عليه الكلام

ملف powershell.exe اللي في System32 أو SysWOW64 هو مضيف Windows الرسمي. الأمان بيتحدد حسب العملية الأم وسطر الأوامر بتاع -Command / -EncodedCommand. الحكم بالاسم بس بيفشل هنا.

قارن الموقع المسجل بالملف الفعلي. مجلد مألوف وحده لا يثبت الهوية.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • إصدار PowerShell 7 اسمه pwsh.exe
  • المضيف الـ 32-بت مكانه جوة SysWOW64
  • اقرا المعاملات (arguments) في سطر الأوامر دايماً

هل ينفع أقفله؟

بيوقف السكريبت ده

إنهاء powershell.exe بيقفل الجلسة دي. لو فيه مهمة مجدولة بترجع تشغله، دور على المهمة دي. إنهاء conhost.exe بس بيقفل النافذة مش أكتر.

هل ينفع أفتحه وأمسحه؟

لأ

ما تمسحش powershell.exe. قيد تشغيل السكريبتات بالسياسات (policy) لو الجهاز ده متأمن ومقيد. عمليات تحديث وصيانة Windows بتعتمد على المضيف ده.

هل المفروض يشتغل مع بداية تشغيل Windows؟

وجود PowerShell في Startup ونافيذته مخفية محتاج فحص عشان تشوف إيه اللي مخليه يفضل موجود. لو اختصار تفاعلي أنت اللي عامله بنفسك يبقى تمام.

قياس استخدام الموارد

قم بقياس العملية الحالية بدلاً من افتراض خط أساس عالمي
وحدة المعالجة المركزية والذاكرة قارن عدة ملاحظات لنفس معرف العملية وحمل العمل. هذه الإدخال ليس له خط أساس عالمي مقاس بشكل مستقل.
القرص والشبكة نسب النشاط إلى العملية الفعلية والمهمة الحالية؛ اسم الملف وحده لا يحدد الوجهات المتوقعة أو حجم النقل.

معلومات الملف

معلومات ملف powershell.exe
اسم الملف التنفيذي powershell.exe
مسار التثبيت المسجل C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
جهة النشر Microsoft Corporation
فحص التوقيع افحص الملف الفعلي؛ هذا الإدخال لا يصدق هوية شهادته.

المشاكل الشائعة

وجود EncodedCommand مع تسجيل الدخول

انسخ السطر وفك تشفيره في محرر نصوص آمن. ده الكود اللي بيتنفذ، المشكلة مش إن "PowerShell فيروس".

بيتلخبط مع cmd

ملفات الدفعة (Batch files) دي تخص cmd.exe. ملفات ملف تعريف PowerShell (profiles) ملفات بدء تشغيل تانية خالص.

استكشاف الأخطاء وإصلاحها

شخّص المشكلة الأول قبل ما تعمل أي تغيير يضر النظام.

افحص معرّف العملية الأم (parent PID)

لو winword هو اللي مشغل powershell فده موضوع ماكرو تبع Office. لو explorer هو اللي شغله بعد ما دوست على اختصار يبقى ده أنت.

ما تعطلش PowerShell عشان توقف سكريبت واحد

امسح المهمة أو المستند نفسه. المضيف مجرد أداة.

التفاصيل التقنية

التفاصيل التقنية
التفاصيل التقنية لملف powershell.exe
اسم الصورة (Image name) powershell.exe
البرنامج المماثل ليه pwsh.exe (PowerShell 7)

التحقق من هوية ملف شغال

اسم الملف وحده لا يمكن أن يثبت الأمان. تحقق من المسار الفعلي والتوقيع وهوية المنتج.

المصادر والتحقق

تاريخ المصدر المسجل: أغسطس 2026. التاريخ ده مش إثبات لتحقق مستقل. إزاي بنعمل أبحاثنا.

هل المقالة دي كانت مفيدة؟

مجرد نعم أو لأ كفاية. اختار سبب لو تحب، أو اكتب ملاحظة سريعة.

هل المقالة دي كانت مفيدة؟