1. [Вікі](https://feex.it/wiki/)
2. [Працэсы](https://feex.it/wiki/process/)
3. [Працэсы прыкладанняў](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

Працэс праграмы: Microsoft Corporation

Тэрміны пошуку ў каталогу powershell, windows powershell

Windows, Праграма

Windows PowerShell 5.1. pwsh.exe - гэта PowerShell 7. Яны абодва могуць прысутнічаць. Акно кансолі часта абслугоўвае conhost.exe.

## Што вам трэба ведаць

Гэта Windows PowerShell 5.1. Пагрозу нясе скрыпт у камандным радку, а не імя хост-працэсу.

powershell.exe - гэта Windows PowerShell. pwsh.exe - гэта больш новая версія PowerShell. conhost.exe адлюстроўвае акно. Схаваны powershell.exe з макраса Word - гэта гісторыя каманднага радка.

- **Бяспечны?**: Праверце шлях запушчанага файла, лічбавы подпіс і выдаўца. Адно толькі імя не можа гарантаваць бяспеку.

  **Тое ж самае, што і pwsh?**: Не. pwsh - гэта PowerShell 7

  **Чаму там прысутнічае conhost?**: Гэта акно кансолі

Feex паведамляе

Я ніколі не называю powershell.exe шкоднаснай праграмай толькі таму, што ён запушчаны. Я чытаю камандны радок. Праблемай з'яўляецца падпісаны хост, які запускае скрыпт з папкі Temp.

## Што такое powershell.exe?

powershell.exe - гэта Windows PowerShell 5.1, які пастаўляецца разам з Windows. Гэта не pwsh.exe, які вы ўсталёўваеце як PowerShell 7 ад Microsoft.

## Што ён робіць?

Ён выконвае скрыпты і камандлеты. Палітыка выканання можа блакіраваць непадпісаныя лакальныя скрыпты. Абыход гэтай палітыкі ў камандным радку - гэта трывожны сігнал, калі вы не ўводзілі яго самі.

## Чаму ён працуе?

Вы адкрылі кансоль, запланаваную задачу або ўсталёўшчык запусціў скрыпт. Бясфайлавыя шкоднасныя праграмы таксама выкарыстоўваюць гэты хост. Шлях разам з камандным радком вызначаюць сітуацыю.

## Праверце запушчаны працэс

У Windows PowerShell гэты запытваемы запіс са спісам ідэнтыфікатараў працэсаў, часу стварэння і шляхоў выкананых файлаў на гэтым ПК.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Адсутнасць выніку або недаступны шлях з'яўляюцца непераканаўчымі. Абароненыя працэсы могуць абмяжоўваць доступ, а ідэнтыфікатары працэсаў могуць паўторна выкарыстоўвацца. Захоўвайце асабістыя шляхі лакальнымі.

Выкарыстоўвайце [даведнік па ідэнтыфікацыі файлаў](https://feex.it/wiki/l/be/software/system/verify-executable-path-signature/) для параўнання подпісаў і метаданых прадукту. Адзін толькі файл не можа вызначыць бяспеку.

## Ці ён бяспечны?

Хост легітымны. Пытанне ў скрыпце

powershell.exe у System32 або SysWOW64 - гэта хост Windows. Бяспека залежыць ад бацькоўскага працэсу і радка -Command / -EncodedCommand. Вердыкты толькі па імені файла тут не працуюць.

Параўноўвайце запісанае месцазнаходжанне з фактычным файлам. Знаёмая папка сама па сабе не ўстанаўлівае ідэнтычнасць.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 - гэта pwsh.exe
- 32-бітны хост знаходзіцца ў SysWOW64
- Заўсёды чытайце аргументы

## Ці магу я завяршыць яго?

Спыняе гэты скрыпт

Завяршэнне powershell.exe перарывае гэты сеанс. Калі задача перазапускае яго, знайдзіце гэтую задачу. Завяршэнне conhost.exe толькі закрывае акно.

## Ці магу я выдаліць яго?

Не

Не выдаляйце powershell.exe. Абмяжуйце выкананне скрыптаў з дапамогай палітык, калі гэта строга кантраляваны ПК. Абслугоўванне Windows патрабуе наяўнасці гэтага хосту.

## Ці павінен ён запускацца разам з Windows?

PowerShell у аўтазагрузцы са схаваным акном - гэта праверка на замацаванне ў сістэме. Інтэрактыўны ярлык, які вы стварылі самі, цалкам бяспечны.

## Вымярайце выкарыстанне рэсурсаў

| Працэсар і памяць | Параўноўвайце некалькі назіранняў для аднаго і таго ж PID і працоўнай нагрузкі. Гэты запіс не мае незалежна вымеранай універсальнай базавай лініі. |
| ----------------- | -------------------------------------------------------------------------------------------------------------------------------------------------- |
| Дыск і сетка      | Прыпісвайце актыўнасць фактычнаму працэсу і бягучай задачы; адзін толькі файл не ўстанаўлівае чаканыя прызначэнні або аб'ём перадачы.              |

## Інфармацыя пра файл

| Імя выканальнага файла  | powershell.exe                                                                 |
| ----------------------- | ------------------------------------------------------------------------------ |
| Запісаны шлях устаноўкі | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe                      |
| Выдавец                 | Microsoft Corporation                                                          |
| Праверка подпісу        | Праверце фактычны файл; гэты запіс не пацвярджае ідэнтычнасць яго сертыфіката. |

## Распаўсюджаныя праблемы

### EncodedCommand пры ўваходзе ў сістэму

Скапіруйце радок і дэкадуйце яго ў бяспечным рэдактары. Гэта і ёсць карысная нагрузка, а не "PowerShell - гэта вірус".

### Блытаюць з cmd

Пакетныя файлы выконвае cmd.exe. Профілі PowerShell - гэта іншы файл аўтазапуску.

## Пошук і ліквідацыя непаладак

Выканайце дыягностыку, перш чым рабіць якія-небудзь дэструктыўныя дзеянні.

### Праверце бацькоўскі PID

winword, які запускае powershell, - гэта выпадак макраса Office. explorer, які запускае яго пасля пстрычкі па ярлыку, - гэта вашы дзеянні.

### Не адключайце PowerShell, каб спыніць адзін скрыпт

Выдаліце задачу або дакумент. Хост - гэта інструмент.

## Тэхнічныя падрабязнасці

Тэхнічныя падрабязнасці

| Імя вобраза        | powershell.exe          |
| ------------------ | ----------------------- |
| Роднасны кампанент | pwsh.exe (PowerShell 7) |

## Праверце ідэнтычнасць запушчанага файла

Адзін толькі файл не можа вызначыць бяспеку. Праверце фактычны шлях, подпіс і ідэнтычнасць прадукту.

## Звязанае

Гэтыя аб'екты звязаны з гэтым артыкулам. Тып пазначаны на кожнай спасылцы.

[Windows PowerShell: Праграма](https://feex.it/wiki/l/be/software/windows-powershell/)[cmd.exe: Працэс праграмы](https://feex.it/wiki/l/be/process/cmd.exe/)[conhost.exe: Працэс Windows](https://feex.it/wiki/l/be/process/conhost.exe/)[Праверце шлях выкананага файла і лічбавы подпіс: Кіраўніцтва](https://feex.it/wiki/l/be/software/system/verify-executable-path-signature/)[Прачытайце Дыспетчар задач і параўнайце актыўнасць працэсу: Кіраўніцтва](https://feex.it/wiki/l/be/software/system/how-to-read-task-manager/)[Працэсы прыкладанняў: Катэгорыя](https://feex.it/wiki/process/application/)

## Крыніцы і праверка

Зафіксаваная пазнака крыніцы: жнівень 2026. Гэтая пазнака не пацвярджае незалежную праверку. [Як мы даследуем](https://feex.it/wiki/research/).

- [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell і pwsh
- [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· Хост акна кансолі
- [Карта працэсаў Foxhole ](https://foxhole.feex.it/)· Уласныя ўзоры на ПК з Windows. Не лабараторны тэст.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Тлумачыць, як правяраць лічбавыя подпісы файлаў. Гэтая спасылка не пацвярджае сапраўднасць або бяспеку канкрэтнага запушчанага файла.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Метад запыту лакальных працэсаў толькі для чытання.
- [Microsoft: Win32_Process properties ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Дакументуе ідэнтыфікатары працэсаў, шляхі выкананых файлаў, даты стварэння і паўторнае выкарыстанне ідэнтыфікатара бацькоўскага працэсу.

## Ці быў гэты артыкул карысным?

Дастаткова адказаць "так" або "не". Выберыце прычыну, калі хочаце, або дадайце кароткую нататку.

Кароткія факты

Кароткая інфармацыя пра гэтую старонку. Характарыстыкі, крыніцы і поўная гісторыя застаюцца ў артыкуле.

- **Тып**: Працэс праграмы

  **Выдавец**: Microsoft Corporation

  **Выканальны файл**: powershell.exe

  **Бацькоўская праграма**: [Windows PowerShell](https://feex.it/wiki/l/be/software/windows-powershell/)

  **Запішыце кантэкст**: Запіс у каталогу Feex Wiki

Зарэгістраваны статус крыніцы: праверана Feex: Зафіксаваная пазнака крыніцы: жнівень 2026. Гэтая пазнака не пацвярджае незалежную праверку.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/be/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)