Preskoči na sadržaj

powershell.exe

Proces aplikacijeMicrosoft Corporation

Pojmovi za pretragu powershell, windows powershell

WindowsAplikacija

Windows PowerShell 5.1. pwsh.exe je PowerShell 7. Oba mogu biti prisutna. Prozor konzole je često conhost.exe.

Šta trebate znati

Ovo je Windows PowerShell 5.1. Skripta u komandnoj liniji predstavlja rizik, a ne naziv samog hosta.

powershell.exe je Windows PowerShell. pwsh.exe je noviji PowerShell. conhost.exe iscrtava prozor. Skriveni powershell.exe pokrenut iz Word makroa je priča o komandnoj liniji.

Sigurno?
Provjerite putanju, potpis i izdavača pokrenute datoteke. Samo ime ne može garantovati sigurnost.
Isto što i pwsh?
Ne. pwsh je PowerShell 7
Zašto je conhost prisutan?
To je prozor konzole
Feex navodi
Nikada ne nazivam powershell.exe zlonamjernim softverom samo zato što je pokrenut. Čitam komandnu liniju. Potpisani host koji pokreće Temp skriptu predstavlja problem.

Šta je powershell.exe?

powershell.exe je Windows PowerShell 5.1, isporučen uz Windows. To nije pwsh.exe, koji instalirate kao PowerShell 7 od Microsofta.

Čemu služi?

Pokreće skripte i cmdlet komande. Pravila izvršavanja mogu blokirati nepotpisane lokalne skripte. Zaobilaženje (bypass) u komandnoj liniji je znak upozorenja ako ga niste sami unijeli.

Zašto se izvršava?

Otvorili ste komandnu liniju, zakazani zadatak ili je instalater pokrenuo skriptu. Zlonamjerni softver bez fajlova (fileless) također koristi ovaj host. Putanja zajedno sa komandnom linijom određuje situaciju.

Pregledajte pokrenutu instancu

U Windows PowerShell-u, ovaj upit samo za čitanje navodi odgovarajuće ID-jeve procesa, vremena kreiranja i izvršne putanje na ovom računaru.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Nema rezultata ili je nepristupačna putanja neuvjerljiva. Zaštićeni procesi mogu ograničiti pristup, a ID-jevi procesa se mogu ponovo koristiti. Zadržite lične putanje lokalnim.

Koristite vodič za identifikaciju datoteka za poređenje potpisa i metapodataka proizvoda. Sam naziv datoteke ne može utvrditi sigurnost.

Da li je siguran?

Host je legitiman. Skripta je upitna

System32 ili SysWOW64 powershell.exe je Windows host. Sigurnost zavisi od roditeljskog procesa i -Command / -EncodedCommand linije. Procjene samo na osnovu naziva fajla ovdje nisu dovoljne.

Uporedite zabilježenu lokaciju sa stvarnom datotekom. Poznati folder sam po sebi ne utvrđuje identitet.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • PowerShell 7 je pwsh.exe
  • 32-bitni host se nalazi pod SysWOW64
  • Uvijek pročitajte argumente

Mogu li ga prekinuti?

Zaustavlja tu skriptu

Prekidanje procesa powershell.exe gasi tu sesiju. Ako ga zadatak ponovo pokrene, pronađite taj zadatak. Prekidanje conhost.exe zatvara samo prozor.

Mogu li ga ukloniti?

Ne

Nemojte brisati powershell.exe. Ograničite izvršavanje skripti putem polisa ako je ovo strogo kontrolisan računar. Windows servisiranje očekuje prisustvo hosta.

Treba li se pokretati sa sistemom Windows?

Startup PowerShell sa skrivenim prozorom ukazuje na provjeru perzistencije. Interaktivna prečica koju ste sami kreirali je u redu.

Mjerite upotrebu resursa

Mjerite trenutni proces umjesto da pretpostavljate univerzalnu osnovnu liniju
CPU i memorija Uporedite nekoliko zapažanja za isti PID i radno opterećenje. Ovaj unos nema nezavisno izmjerenu univerzalnu osnovnu liniju.
Disk i mreža Pripišite aktivnost stvarnom procesu i trenutnom zadatku; naziv datoteke sam po sebi ne utvrđuje očekivane destinacije ili obim prenosa.

Informacije o datoteci

Informacije o fajlu powershell.exe
Naziv izvršne datoteke powershell.exe
Zabilježena putanja instalacije C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Izdavač Microsoft Corporation
Provjera potpisa Pregledajte stvarnu datoteku; ovaj unos ne certificira identitet njenog certifikata.

Česti problemi

EncodedCommand pri prijavi

Kopirajte liniju i dekodirajte je u sigurnom editoru teksta. To je stvarni sadržaj, a ne "PowerShell je virus".

Zamjena sa cmd

Batch fajlovi pripadaju cmd.exe. PowerShell profili su zaseban fajl za pokretanje.

Rješavanje problema

Postavite dijagnozu prije nego što promijenite bilo šta što može nanijeti štetu.

Pregledajte roditeljski PID

winword koji pokreće powershell je priča o Office makroima. explorer koji ga pokreće nakon što ste kliknuli na prečicu ste vi.

Nemojte onemogućavati PowerShell da biste zaustavili jednu skriptu

Uklonite zadatak ili dokument. Host je samo alat.

Tehnički detalji

Tehnički detalji
Tehnički detalji o powershell.exe
Naziv slike powershell.exe
Srodan proces pwsh.exe (PowerShell 7)

Provjerite identitet pokrenute datoteke

Sam naziv datoteke ne može utvrditi sigurnost. Provjerite stvarnu putanju, potpis i identitet proizvoda.

Izvori i provjera

Zabilježena oznaka izvora: august 2026. Ova oznaka ne predstavlja nezavisnu provjeru. Kako istražujemo.

Da li je ovaj članak bio koristan?

Dovoljno je da odgovorite sa da ili ne. Izaberite razlog ako želite ili dodajte kratku napomenu.

Da li je ovaj članak bio koristan?