1. [الويكي](https://feex.it/wiki/)
2. [العمليات](https://feex.it/wiki/process/)
3. [عمليات التطبيق](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

عملية تطبيق: Microsoft Corporation

مصطلحات البحث في الكتالوج powershell, windows powershell

Windows, تطبيق

Windows PowerShell 5.1. ملف pwsh.exe ده PowerShell 7. الاتنين ممكن يبقوا موجودين مع بعض. نافذة الكونسول غالباً بتبقى conhost.exe.

## اللي محتاج تعرفه

ده Windows PowerShell 5.1. السكريبت المكتوب في سطر الأوامر هو الخطر، مش اسم المضيف نفسه.

ملف powershell.exe هو Windows PowerShell. ملف pwsh.exe هو الإصدار الأحدث من PowerShell. ملف conhost.exe هو اللي بيرسم النافذة. وجود powershell.exe مخفي من ماكرو وورد ده حوار سطر أوامر.

- **آمن؟**: اتأكد من مسار الملف اللي شغال، وتوقيعه، وجهة النشر بتاعته. مجرد اسم الملف لوحده ما يثبتش إنه آمن.

  **هو نفسه pwsh؟**: لأ. pwsh ده PowerShell 7

  **ليه conhost موجود هناك؟**: دي نافذة الكونسول (console window)

Feex بتقولك

عمري ما باقول على powershell.exe إنه فيروس لمجرد إنه شغال. أنا باقرا سطر الأوامر الأول. المشكلة بتبقى لما تلاقي مضيف موقع رسمياً بيشغل سكريبت من مجلد Temp.

## إيه هو powershell.exe؟

ملف powershell.exe هو Windows PowerShell 5.1، بينزل جاهز مع Windows. مش هو pwsh.exe، اللي بتثبته باسم PowerShell 7 من مايكروسوفت.

## بيعمل إيه؟

بيشغل السكريبتات وأوامر cmdlets. سياسة التنفيذ (Execution policy) ممكن تمنع السكريبتات المحلية غير الموقعة رقمياً. وجود أمر تجاوز (bypass) في سطر الأوامر يعتبر علامة خطر لو ما كنتش أنت اللي كاتبه.

## ليه شغال؟

أنت فتحت نافذة أوامر، أو فيه مهمة مجدولة (scheduled task) أو مثبت برامج هو اللي شغل سكريبت. البرمجيات الخبيثة بدون ملفات (Fileless malware) بتستغل المضيف ده برضه. المسار مع سطر الأوامر هما اللي بيحددوا الموضوع إيه.

## فحص النسخة قيد التشغيل

في Windows PowerShell، يسرد هذا الاستعلام للقراءة فقط معرفات العمليات المطابقة، وأوقات الإنشاء، ومسارات الملفات التنفيذية على هذا الكمبيوتر.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

لا يوجد نتيجة أو مسار غير قابل للوصول يعتبر غير حاسم. قد تقيد العمليات المحمية الوصول، ويمكن إعادة استخدام معرفات العمليات. احتفظ بالمسارات الشخصية محلية.

استخدم [دليل هوية الملف](https://feex.it/wiki/l/arz/software/system/verify-executable-path-signature/) لمقارنة التوقيعات وبيانات التعريف الخاصة بالمنتج. اسم الملف وحده لا يمكن أن يثبت الأمان.

## هل هو آمن؟

المضيف شرعي وسليم. السكريبت نفسه هو اللي عليه الكلام

ملف powershell.exe اللي في System32 أو SysWOW64 هو مضيف Windows الرسمي. الأمان بيتحدد حسب العملية الأم وسطر الأوامر بتاع -Command / -EncodedCommand. الحكم بالاسم بس بيفشل هنا.

قارن الموقع المسجل بالملف الفعلي. مجلد مألوف وحده لا يثبت الهوية.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- إصدار PowerShell 7 اسمه pwsh.exe
- المضيف الـ 32-بت مكانه جوة SysWOW64
- اقرا المعاملات (arguments) في سطر الأوامر دايماً

## هل ينفع أقفله؟

بيوقف السكريبت ده

إنهاء powershell.exe بيقفل الجلسة دي. لو فيه مهمة مجدولة بترجع تشغله، دور على المهمة دي. إنهاء conhost.exe بس بيقفل النافذة مش أكتر.

## هل ينفع أفتحه وأمسحه؟

لأ

ما تمسحش powershell.exe. قيد تشغيل السكريبتات بالسياسات (policy) لو الجهاز ده متأمن ومقيد. عمليات تحديث وصيانة Windows بتعتمد على المضيف ده.

## هل المفروض يشتغل مع بداية تشغيل Windows؟

وجود PowerShell في Startup ونافيذته مخفية محتاج فحص عشان تشوف إيه اللي مخليه يفضل موجود. لو اختصار تفاعلي أنت اللي عامله بنفسك يبقى تمام.

## قياس استخدام الموارد

| وحدة المعالجة المركزية والذاكرة | قارن عدة ملاحظات لنفس معرف العملية وحمل العمل. هذه الإدخال ليس له خط أساس عالمي مقاس بشكل مستقل.      |
| ------------------------------- | ----------------------------------------------------------------------------------------------------- |
| القرص والشبكة                   | نسب النشاط إلى العملية الفعلية والمهمة الحالية؛ اسم الملف وحده لا يحدد الوجهات المتوقعة أو حجم النقل. |

## معلومات الملف

| اسم الملف التنفيذي  | powershell.exe                                            |
| ------------------- | --------------------------------------------------------- |
| مسار التثبيت المسجل | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe |
| جهة النشر           | Microsoft Corporation                                     |
| فحص التوقيع         | افحص الملف الفعلي؛ هذا الإدخال لا يصدق هوية شهادته.       |

## المشاكل الشائعة

### وجود EncodedCommand مع تسجيل الدخول

انسخ السطر وفك تشفيره في محرر نصوص آمن. ده الكود اللي بيتنفذ، المشكلة مش إن "PowerShell فيروس".

### بيتلخبط مع cmd

ملفات الدفعة (Batch files) دي تخص cmd.exe. ملفات ملف تعريف PowerShell (profiles) ملفات بدء تشغيل تانية خالص.

## استكشاف الأخطاء وإصلاحها

شخّص المشكلة الأول قبل ما تعمل أي تغيير يضر النظام.

### افحص معرّف العملية الأم (parent PID)

لو winword هو اللي مشغل powershell فده موضوع ماكرو تبع Office. لو explorer هو اللي شغله بعد ما دوست على اختصار يبقى ده أنت.

### ما تعطلش PowerShell عشان توقف سكريبت واحد

امسح المهمة أو المستند نفسه. المضيف مجرد أداة.

## التفاصيل التقنية

التفاصيل التقنية

| اسم الصورة (Image name) | powershell.exe          |
| ----------------------- | ----------------------- |
| البرنامج المماثل ليه    | pwsh.exe (PowerShell 7) |

## التحقق من هوية ملف شغال

اسم الملف وحده لا يمكن أن يثبت الأمان. تحقق من المسار الفعلي والتوقيع وهوية المنتج.

## ذات صلة

العناصر دي مرتبطة بالمقالة دي. النوع موضح على كل رابط.

[Windows PowerShell: تطبيق](https://feex.it/wiki/l/arz/software/windows-powershell/)[cmd.exe: عملية تطبيق](https://feex.it/wiki/l/arz/process/cmd.exe/)[conhost.exe: عملية Windows](https://feex.it/wiki/l/arz/process/conhost.exe/)[تحقق من مسار الملف التنفيذي والتوقيع الرقمي: دليل](https://feex.it/wiki/l/arz/software/system/verify-executable-path-signature/)[اقرأ مدير المهام وقارن نشاط العمليات: دليل](https://feex.it/wiki/l/arz/software/system/how-to-read-task-manager/)[عمليات التطبيق: الفئة](https://feex.it/wiki/process/application/)

## المصادر والتحقق

تاريخ المصدر المسجل: أغسطس 2026. التاريخ ده مش إثبات لتحقق مستقل. [إزاي بنعمل أبحاثنا](https://feex.it/wiki/research/).

- [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell و pwsh
- [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· مضيف نافذة الكونسول
- [خريطة عمليات Foxhole ](https://foxhole.feex.it/)· عينات طرف أول على أجهزة كمبيوتر ويندوز. مش مقياس أداء معملي.
- [Microsoft Sysinternals: أداة Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· بتشرح إزاي تفحص التواقيع الرقمية للملفات. المرجع ده مش إثبات لهوية أو أمان ملف معين شغال حالياً.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· طريقة استعلام العمليات المحلية للقراءة فقط.
- [خصائص Microsoft: Win32_Process ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· توثق معرفات العمليات، ومسارات الملفات التنفيذية، وتواريخ الإنشاء، وإعادة استخدام معرف العملية الأب.

## هل المقالة دي كانت مفيدة؟

مجرد نعم أو لأ كفاية. اختار سبب لو تحب، أو اكتب ملاحظة سريعة.

حقائق سريعة

نبذة تعريفية سريعة عن الصفحة دي. المواصفات، والمصادر، والتفاصيل الكاملة موجودة في المقالة.

- **النوع**: عملية تطبيق

  **جهة النشر**: Microsoft Corporation

  **ملف تنفيذي**: powershell.exe

  **التطبيق الأصل**: [Windows PowerShell](https://feex.it/wiki/l/arz/software/windows-powershell/)

  **تسجيل السياق**: إدخال مرجع Feex Wiki

حالة المصدر المسجل: تمت مراجعته بواسطة Feex: تاريخ المصدر المسجل: أغسطس 2026. التاريخ ده مش إثبات لتحقق مستقل.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/arz/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)