powershell.exe

Процес на приложениетоMicrosoft Corporation

Термини за търсене в каталога powershell, windows powershell

WindowsПриложение

Windows PowerShell 5.1. pwsh.exe е PowerShell 7. И двата могат да присъстват едновременно. Конзолният прозорец често е conhost.exe.

Какво трябва да знаете

Това е Windows PowerShell 5.1. Скриптът в командния ред крие риска, а не името на хоста.

powershell.exe е Windows PowerShell. pwsh.exe е по-новият PowerShell. conhost.exe изчертава прозореца. Скрит powershell.exe от макрос на Word е въпрос на команден ред.

Безопасен ли е?: Проверете пътя, подписа и издателя на изпълнявания файл. Самото име не може да гарантира безопасност.
Същото ли е като pwsh?: Не. pwsh е PowerShell 7
Защо conhost е там?: Това е конзолният прозорец

Feex казва

Никога не определям powershell.exe като зловреден софтуер само защото работи. Чета командния ред. Проблемът е подписан хост, стартиращ скрипт от Temp.

Какво представлява powershell.exe?

powershell.exe е Windows PowerShell 5.1, доставян с Windows. Това не е pwsh.exe, който се инсталира като PowerShell 7 от Microsoft.

Какво прави?

Той изпълнява скриптове и кратки команди (cmdlets). Политиката на изпълнение може да блокира неподписани локални скриптове. Заобикаляне на защитата (bypass) в командния ред е червен флаг, ако не сте го въвели вие.

Защо се изпълнява?

Отворили сте команден прозорец, планирана задача или инсталатор е стартирал скрипт. Зловреден софтуер без файлове също използва този хост. Пътят плюс командният ред определят ситуацията.

Инспектирайте работещия екземпляр

В Windows PowerShell, тази заявка само за четене изброява съвпадащи идентификатори на процеси, времена на създаване и пътища на изпълними файлове на този компютър.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Липсата на резултат или недостъпен път е неубедителна. Защитените процеси могат да ограничат достъпа, а идентификаторите на процеси могат да бъдат използвани повторно. Пазете личните пътища локални.

Използвайте ръководство за идентификация на файлове за сравняване на подписи и метаданни на продукта. Само името на файл не може да установи безопасност.

Безопасен ли е?

Хостът е легитимен. Въпросът е в скрипта

powershell.exe в System32 или SysWOW64 е хостът на Windows. Безопасността зависи от родителския процес и реда с -Command / -EncodedCommand. Присъдите само по име на файл тук са неефективни.

Сравнете записаното местоположение с действителния файл. Познатата папка сама по себе си не установява самоличност.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

PowerShell 7 е pwsh.exe
32-битовият хост се намира под SysWOW64
Винаги четете аргументите

Мога ли да го прекратя?

Спира съответния скрипт

Прекратяването на powershell.exe спира тази сесия. Ако задача го рестартира, намерете задачата. Прекратяването на conhost.exe само премахва прозореца.

Мога ли да го премахна?

Не

Не изтривайте powershell.exe. Ограничете изпълнението на скриптове чрез политики, ако това е стриктно защитен компютър. Поддръжката на Windows изисква този хост.

Трябва ли да стартира с Windows?

PowerShell в Startup със скрит прозорец е признак за проверка за запазване на достъп (persistence). Интерактивен пряк път, създаден от вас, е напълно нормален.

Измерване на използването на ресурсите

Измерете текущия процес, вместо да приемате универсална базова линия
CPU и памет	Сравнете няколко наблюдения за един и същ PID и натоварване. Този запис няма независимо измерена универсална базова линия.
Диск и мрежа	Припишете активността на действителния процес и текущата задача; само името на файл не установява очаквани дестинации или обем на трансфер.

Информация за файла

Информация за файла powershell.exe
Име на изпълнимия файл	powershell.exe
Записан път на инсталация	C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Издател	Microsoft Corporation
Проверка на подписа	Инспектирайте действителния файл; този запис не удостоверява самоличността на неговия сертификат.

Често срещани проблеми

EncodedCommand при влизане в системата

Копирайте реда и го декодирайте в безопасен редактор. Това е полезният товар, а не че "PowerShell е вирус".

Объркване с cmd

Командните файлове (batch) са cmd.exe. Профилите на PowerShell са различен файл за стартиране.

Отстраняване на неизправности

Поставете диагноза, преди да предприемете каквото и да било деструктивно действие.

Проверете PID на родителския процес

winword, стартиращ powershell, показва намеса на макрос от Office. explorer, стартиращ процеса след като сте щракнали върху пряк път, сте вие.

Не деактивирайте PowerShell, за да спрете един скрипт

Премахнете задачата или документа. Хостът е просто инструмент.

Технически подробности

Технически подробности за powershell.exe
Име на изображението	powershell.exe
Свързан компонент	pwsh.exe (PowerShell 7)

Проверете идентичността на работещ файл

Само името на файл не може да установи безопасност. Проверете действителния път, подписа и самоличността на продукта.

Източници и проверка

Записан етикет за източник: август 2026 г. Този етикет не установява независима проверка. Как проучваме.

Microsoft Learn: PowerShell · Windows PowerShell и pwsh
Microsoft Learn: conhost · Console window host
Карта на процесите във Foxhole · Извадки от първа страна на компютри с Windows. Не е лабораторен бенчмарк.
Microsoft Sysinternals: Sigcheck · Обяснява как се проверяват цифровите файлови подписи. Тази препратка не установява идентичността или безопасността на конкретен изпълняван файл.
Microsoft: Get-CimInstance · Метод за локално запитване на процеси само за четене.
Microsoft: Win32_Process свойства · Документира идентификатори на процеси, пътища на изпълними файлове, дати на създаване и повторно използване на идентификатор на родител.

Беше ли полезна тази статия?

Достатъчно е "да" или "не". Изберете причина, ако желаете, или добавете кратка бележка.