1. [Уики](https://feex.it/wiki/)
2. [Процеси](https://feex.it/wiki/process/)
3. [Процеси на приложения](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

Процес на приложението: Microsoft Corporation

Термини за търсене в каталога powershell, windows powershell

Windows, Приложение

Windows PowerShell 5.1. pwsh.exe е PowerShell 7. И двата могат да присъстват едновременно. Конзолният прозорец често е conhost.exe.

## Какво трябва да знаете

Това е Windows PowerShell 5.1. Скриптът в командния ред крие риска, а не името на хоста.

powershell.exe е Windows PowerShell. pwsh.exe е по-новият PowerShell. conhost.exe изчертава прозореца. Скрит powershell.exe от макрос на Word е въпрос на команден ред.

- **Безопасен ли е?**: Проверете пътя, подписа и издателя на изпълнявания файл. Самото име не може да гарантира безопасност.

  **Същото ли е като pwsh?**: Не. pwsh е PowerShell 7

  **Защо conhost е там?**: Това е конзолният прозорец

Feex казва

Никога не определям powershell.exe като зловреден софтуер само защото работи. Чета командния ред. Проблемът е подписан хост, стартиращ скрипт от Temp.

## Какво представлява powershell.exe?

powershell.exe е Windows PowerShell 5.1, доставян с Windows. Това не е pwsh.exe, който се инсталира като PowerShell 7 от Microsoft.

## Какво прави?

Той изпълнява скриптове и кратки команди (cmdlets). Политиката на изпълнение може да блокира неподписани локални скриптове. Заобикаляне на защитата (bypass) в командния ред е червен флаг, ако не сте го въвели вие.

## Защо се изпълнява?

Отворили сте команден прозорец, планирана задача или инсталатор е стартирал скрипт. Зловреден софтуер без файлове също използва този хост. Пътят плюс командният ред определят ситуацията.

## Инспектирайте работещия екземпляр

В Windows PowerShell, тази заявка само за четене изброява съвпадащи идентификатори на процеси, времена на създаване и пътища на изпълними файлове на този компютър.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Липсата на резултат или недостъпен път е неубедителна. Защитените процеси могат да ограничат достъпа, а идентификаторите на процеси могат да бъдат използвани повторно. Пазете личните пътища локални.

Използвайте [ръководство за идентификация на файлове](https://feex.it/wiki/l/bg/software/system/verify-executable-path-signature/) за сравняване на подписи и метаданни на продукта. Само името на файл не може да установи безопасност.

## Безопасен ли е?

Хостът е легитимен. Въпросът е в скрипта

powershell.exe в System32 или SysWOW64 е хостът на Windows. Безопасността зависи от родителския процес и реда с -Command / -EncodedCommand. Присъдите само по име на файл тук са неефективни.

Сравнете записаното местоположение с действителния файл. Познатата папка сама по себе си не установява самоличност.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 е pwsh.exe
- 32-битовият хост се намира под SysWOW64
- Винаги четете аргументите

## Мога ли да го прекратя?

Спира съответния скрипт

Прекратяването на powershell.exe спира тази сесия. Ако задача го рестартира, намерете задачата. Прекратяването на conhost.exe само премахва прозореца.

## Мога ли да го премахна?

Не

Не изтривайте powershell.exe. Ограничете изпълнението на скриптове чрез политики, ако това е стриктно защитен компютър. Поддръжката на Windows изисква този хост.

## Трябва ли да стартира с Windows?

PowerShell в Startup със скрит прозорец е признак за проверка за запазване на достъп (persistence). Интерактивен пряк път, създаден от вас, е напълно нормален.

## Измерване на използването на ресурсите

| CPU и памет  | Сравнете няколко наблюдения за един и същ PID и натоварване. Този запис няма независимо измерена универсална базова линия.                  |
| ------------ | ------------------------------------------------------------------------------------------------------------------------------------------- |
| Диск и мрежа | Припишете активността на действителния процес и текущата задача; само името на файл не установява очаквани дестинации или обем на трансфер. |

## Информация за файла

| Име на изпълнимия файл    | powershell.exe                                                                                    |
| ------------------------- | ------------------------------------------------------------------------------------------------- |
| Записан път на инсталация | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe                                         |
| Издател                   | Microsoft Corporation                                                                             |
| Проверка на подписа       | Инспектирайте действителния файл; този запис не удостоверява самоличността на неговия сертификат. |

## Често срещани проблеми

### EncodedCommand при влизане в системата

Копирайте реда и го декодирайте в безопасен редактор. Това е полезният товар, а не че "PowerShell е вирус".

### Объркване с cmd

Командните файлове (batch) са cmd.exe. Профилите на PowerShell са различен файл за стартиране.

## Отстраняване на неизправности

Поставете диагноза, преди да предприемете каквото и да било деструктивно действие.

### Проверете PID на родителския процес

winword, стартиращ powershell, показва намеса на макрос от Office. explorer, стартиращ процеса след като сте щракнали върху пряк път, сте вие.

### Не деактивирайте PowerShell, за да спрете един скрипт

Премахнете задачата или документа. Хостът е просто инструмент.

## Технически подробности

Технически подробности

| Име на изображението | powershell.exe          |
| -------------------- | ----------------------- |
| Свързан компонент    | pwsh.exe (PowerShell 7) |

## Проверете идентичността на работещ файл

Само името на файл не може да установи безопасност. Проверете действителния път, подписа и самоличността на продукта.

## Свързани

Тези обекти са свързани с тази статия. Типът се показва на всяка връзка.

[Windows PowerShell: Приложение](https://feex.it/wiki/l/bg/software/windows-powershell/)[cmd.exe: Процес на приложението](https://feex.it/wiki/l/bg/process/cmd.exe/)[conhost.exe: Процес на Windows](https://feex.it/wiki/l/bg/process/conhost.exe/)[Проверете пътя на изпълнимия файл и цифровия подпис: Ръководство](https://feex.it/wiki/l/bg/software/system/verify-executable-path-signature/)[Прочетете диспечера на задачите и сравнете активността на процесите: Ръководство](https://feex.it/wiki/l/bg/software/system/how-to-read-task-manager/)[Процеси на приложения: Категория](https://feex.it/wiki/process/application/)

## Източници и проверка

Записан етикет за източник: август 2026 г. Този етикет не установява независима проверка. [Как проучваме](https://feex.it/wiki/research/).

- [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell и pwsh
- [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· Console window host
- [Карта на процесите във Foxhole ](https://foxhole.feex.it/)· Извадки от първа страна на компютри с Windows. Не е лабораторен бенчмарк.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Обяснява как се проверяват цифровите файлови подписи. Тази препратка не установява идентичността или безопасността на конкретен изпълняван файл.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Метод за локално запитване на процеси само за четене.
- [Microsoft: Win32_Process свойства ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Документира идентификатори на процеси, пътища на изпълними файлове, дати на създаване и повторно използване на идентификатор на родител.

## Беше ли полезна тази статия?

Достатъчно е "да" или "не". Изберете причина, ако желаете, или добавете кратка бележка.

Бързи факти

Кратката идентичност на тази страница. Спецификациите, източниците и пълната история остават в статията.

- **Тип**: Процес на приложението

  **Издател**: Microsoft Corporation

  **Изпълним файл**: powershell.exe

  **Родителско приложение**: [Windows PowerShell](https://feex.it/wiki/l/bg/software/windows-powershell/)

  **Запис на контекст**: Запис в каталога Feex Wiki

Записан статус на източника: Feex Reviewed: Записан етикет за източник: август 2026 г. Този етикет не установява независима проверка.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/bg/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)