powershell.exe

Працэс праграмыMicrosoft Corporation

Тэрміны пошуку ў каталогу powershell, windows powershell

WindowsПраграма

Windows PowerShell 5.1. pwsh.exe - гэта PowerShell 7. Яны абодва могуць прысутнічаць. Акно кансолі часта абслугоўвае conhost.exe.

Што вам трэба ведаць

Гэта Windows PowerShell 5.1. Пагрозу нясе скрыпт у камандным радку, а не імя хост-працэсу.

powershell.exe - гэта Windows PowerShell. pwsh.exe - гэта больш новая версія PowerShell. conhost.exe адлюстроўвае акно. Схаваны powershell.exe з макраса Word - гэта гісторыя каманднага радка.

Бяспечны?: Праверце шлях запушчанага файла, лічбавы подпіс і выдаўца. Адно толькі імя не можа гарантаваць бяспеку.
Тое ж самае, што і pwsh?: Не. pwsh - гэта PowerShell 7
Чаму там прысутнічае conhost?: Гэта акно кансолі

Feex паведамляе

Я ніколі не называю powershell.exe шкоднаснай праграмай толькі таму, што ён запушчаны. Я чытаю камандны радок. Праблемай з'яўляецца падпісаны хост, які запускае скрыпт з папкі Temp.

Што такое powershell.exe?

powershell.exe - гэта Windows PowerShell 5.1, які пастаўляецца разам з Windows. Гэта не pwsh.exe, які вы ўсталёўваеце як PowerShell 7 ад Microsoft.

Што ён робіць?

Ён выконвае скрыпты і камандлеты. Палітыка выканання можа блакіраваць непадпісаныя лакальныя скрыпты. Абыход гэтай палітыкі ў камандным радку - гэта трывожны сігнал, калі вы не ўводзілі яго самі.

Чаму ён працуе?

Вы адкрылі кансоль, запланаваную задачу або ўсталёўшчык запусціў скрыпт. Бясфайлавыя шкоднасныя праграмы таксама выкарыстоўваюць гэты хост. Шлях разам з камандным радком вызначаюць сітуацыю.

Праверце запушчаны працэс

У Windows PowerShell гэты запытваемы запіс са спісам ідэнтыфікатараў працэсаў, часу стварэння і шляхоў выкананых файлаў на гэтым ПК.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Адсутнасць выніку або недаступны шлях з'яўляюцца непераканаўчымі. Абароненыя працэсы могуць абмяжоўваць доступ, а ідэнтыфікатары працэсаў могуць паўторна выкарыстоўвацца. Захоўвайце асабістыя шляхі лакальнымі.

Выкарыстоўвайце даведнік па ідэнтыфікацыі файлаў для параўнання подпісаў і метаданых прадукту. Адзін толькі файл не можа вызначыць бяспеку.

Ці ён бяспечны?

Хост легітымны. Пытанне ў скрыпце

powershell.exe у System32 або SysWOW64 - гэта хост Windows. Бяспека залежыць ад бацькоўскага працэсу і радка -Command / -EncodedCommand. Вердыкты толькі па імені файла тут не працуюць.

Параўноўвайце запісанае месцазнаходжанне з фактычным файлам. Знаёмая папка сама па сабе не ўстанаўлівае ідэнтычнасць.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

PowerShell 7 - гэта pwsh.exe
32-бітны хост знаходзіцца ў SysWOW64
Заўсёды чытайце аргументы

Ці магу я завяршыць яго?

Спыняе гэты скрыпт

Завяршэнне powershell.exe перарывае гэты сеанс. Калі задача перазапускае яго, знайдзіце гэтую задачу. Завяршэнне conhost.exe толькі закрывае акно.

Ці магу я выдаліць яго?

Не

Не выдаляйце powershell.exe. Абмяжуйце выкананне скрыптаў з дапамогай палітык, калі гэта строга кантраляваны ПК. Абслугоўванне Windows патрабуе наяўнасці гэтага хосту.

Ці павінен ён запускацца разам з Windows?

PowerShell у аўтазагрузцы са схаваным акном - гэта праверка на замацаванне ў сістэме. Інтэрактыўны ярлык, які вы стварылі самі, цалкам бяспечны.

Вымярайце выкарыстанне рэсурсаў

Вымярайце бягучы працэс, а не прымайце ўніверсальную базавую лінію
Працэсар і памяць	Параўноўвайце некалькі назіранняў для аднаго і таго ж PID і працоўнай нагрузкі. Гэты запіс не мае незалежна вымеранай універсальнай базавай лініі.
Дыск і сетка	Прыпісвайце актыўнасць фактычнаму працэсу і бягучай задачы; адзін толькі файл не ўстанаўлівае чаканыя прызначэнні або аб'ём перадачы.

Інфармацыя пра файл

Звесткі аб файле powershell.exe
Імя выканальнага файла	powershell.exe
Запісаны шлях устаноўкі	C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Выдавец	Microsoft Corporation
Праверка подпісу	Праверце фактычны файл; гэты запіс не пацвярджае ідэнтычнасць яго сертыфіката.

Распаўсюджаныя праблемы

EncodedCommand пры ўваходзе ў сістэму

Скапіруйце радок і дэкадуйце яго ў бяспечным рэдактары. Гэта і ёсць карысная нагрузка, а не "PowerShell - гэта вірус".

Блытаюць з cmd

Пакетныя файлы выконвае cmd.exe. Профілі PowerShell - гэта іншы файл аўтазапуску.

Пошук і ліквідацыя непаладак

Выканайце дыягностыку, перш чым рабіць якія-небудзь дэструктыўныя дзеянні.

Праверце бацькоўскі PID

winword, які запускае powershell, - гэта выпадак макраса Office. explorer, які запускае яго пасля пстрычкі па ярлыку, - гэта вашы дзеянні.

Не адключайце PowerShell, каб спыніць адзін скрыпт

Выдаліце задачу або дакумент. Хост - гэта інструмент.

Тэхнічныя падрабязнасці

Тэхнічныя падрабязнасці powershell.exe
Імя вобраза	powershell.exe
Роднасны кампанент	pwsh.exe (PowerShell 7)

Праверце ідэнтычнасць запушчанага файла

Адзін толькі файл не можа вызначыць бяспеку. Праверце фактычны шлях, подпіс і ідэнтычнасць прадукту.

Крыніцы і праверка

Зафіксаваная пазнака крыніцы: жнівень 2026. Гэтая пазнака не пацвярджае незалежную праверку. Як мы даследуем.

Microsoft Learn: PowerShell · Windows PowerShell і pwsh
Microsoft Learn: conhost · Хост акна кансолі
Карта працэсаў Foxhole · Уласныя ўзоры на ПК з Windows. Не лабараторны тэст.
Microsoft Sysinternals: Sigcheck · Тлумачыць, як правяраць лічбавыя подпісы файлаў. Гэтая спасылка не пацвярджае сапраўднасць або бяспеку канкрэтнага запушчанага файла.
Microsoft: Get-CimInstance · Метад запыту лакальных працэсаў толькі для чытання.
Microsoft: Win32_Process properties · Дакументуе ідэнтыфікатары працэсаў, шляхі выкананых файлаў, даты стварэння і паўторнае выкарыстанне ідэнтыфікатара бацькоўскага працэсу.

Ці быў гэты артыкул карысным?

Дастаткова адказаць "так" або "не". Выберыце прычыну, калі хочаце, або дадайце кароткую нататку.