powershell.exe

Procés d'aplicacióMicrosoft Corporation

Termes de cerca del catàleg powershell, windows powershell

WindowsAplicació

Windows PowerShell 5.1. pwsh.exe és el PowerShell 7. Poden ser presents tots dos. La finestra de la consola sol ser conhost.exe.

El que cal saber

Aquest és el Windows PowerShell 5.1. L'script a la línia d'ordres és el risc, no el nom de l'amfitrió.

powershell.exe és el Windows PowerShell. pwsh.exe és el PowerShell més recent. conhost.exe dibuixa la finestra. Un powershell.exe ocult a partir d'una macro del Word és una qüestió de línia d'ordres.

Segur?: Comproveu la ruta, la signatura i l'editor del fitxer en execució. El nom per si sol no pot establir la seguretat.
És el mateix que pwsh?: No. pwsh és el PowerShell 7
Per què hi ha conhost?: Aquesta és la finestra de la consola

Feex diu

Mai no qualifico powershell.exe de programari maliciós pel sol fet que s'estigui executant. Llegeixo la línia d'ordres. Un amfitrió signat que inicia un script a Temp és el problema.

Què és powershell.exe?

powershell.exe és el Windows PowerShell 5.1, inclòs amb el Windows. No és pwsh.exe, que s'instal·la com a PowerShell 7 des de Microsoft.

Què fa?

Executa scripts i miniordres (cmdlets). La directiva d'execució pot blocar scripts locals sense signar. Una omissió a la línia d'ordres és un senyal d'alerta si no l'heu escrita vosaltres.

Per què s'està executant?

Heu obert un indicador d'ordres, o bé una tasca programada o un instal·lador han iniciat un script. El programari maliciós sense fitxers també utilitza aquest amfitrió. El camí més la línia d'ordres decideixen la situació.

Inspeccionar la instància en execució

A Windows PowerShell, aquesta consulta de només lectura enumera els ID de procés coincidents, els temps de creació i les rutes executables en aquest PC.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Cap resultat o una ruta inaccessible no és concloent. Els processos protegits poden restringir l'accés i els ID de procés es poden reutilitzar. Mantingueu les rutes personals locals.

Utilitzeu la guia d'identitat de fitxer per comparar signatures i metadades del producte. Un nom de fitxer sol no pot establir la seguretat.

És segur?

L'amfitrió és legítim. L'script és la incògnita

El powershell.exe de System32 o SysWOW64 és l'amfitrió del Windows. La seguretat depèn del procés pare i de la línia d'ordres -Command / -EncodedCommand. Els veredictes basats només en el nom de fitxer fallen en aquest cas.

Compareu la ubicació registrada amb el fitxer real. Una carpeta familiar sola no estableix la identitat.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

El PowerShell 7 és pwsh.exe
L'amfitrió de 32 bits resideix sota SysWOW64
Llegiu sempre els arguments

Puc finalitzar-lo?

Atura aquest script

Finalitzar powershell.exe atura aquesta sessió. Si una tasca el reinicia, cerqueu la tasca. Finalitzar conhost.exe només tanca la finestra.

Puc eliminar-lo?

No suprimiu powershell.exe. Restringiu l'execució d'scripts amb directives si es tracta d'un PC blocat. El manteniment del Windows necessita aquest amfitrió.

Hauria d'iniciar-se amb el Windows?

Un PowerShell a l'inici amb una finestra oculta és una comprovació de persistència. Una drecera interactiva que hàgiu creat vosaltres no suposa cap problema.

Mesurar l'ús de recursos

Mesureu el procés actual en lloc d'assumir una línia de base universal
CPU i memòria	Compareu diverses observacions per al mateix PID i càrrega de treball. Aquesta entrada no té una línia de base universal mesurada independentment.
Disc i xarxa	Atribueix l'activitat al procés real i a la tasca actual; un nom de fitxer sol no estableix les destinacions esperades ni el volum de transferència.

Informació del fitxer

Informació del fitxer powershell.exe
Nom de l'executable	powershell.exe
Ruta d'instal·lació registrada	C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Editor	Microsoft Corporation
Comprovació de signatura	Inspeccioneu el fitxer real; aquesta entrada no certifica la identitat del seu certificat.

Problemes habituals

EncodedCommand en iniciar la sessió

Copieu la línia i descodifiqueu-la en un editor segur. Aquesta és la càrrega útil, no pas «el PowerShell és un virus».

Confós amb cmd

Els fitxers per lots són cmd.exe. Els perfils del PowerShell són un fitxer d'inici diferent.

Resolució de problemes

Diagnostiqueu abans de fer cap canvi destructiu.

Inspeccioneu el PID pare

Que el winword iniciï el powershell és una qüestió de macros de l'Office. Que l'explorer l'iniciï després d'haver fet clic en una drecera sou vosaltres.

No inhabiliteu el PowerShell per aturar un sol script

Elimineu la tasca o el document. L'amfitrió és una eina.

Detalls tècnics

Detalls tècnics de powershell.exe
Nom de la imatge	powershell.exe
Germà	pwsh.exe (PowerShell 7)

Comprovar la identitat d'un fitxer en execució

Un nom de fitxer sol no pot establir la seguretat. Verifiqueu la ruta real, la signatura i la identitat del producte.

Fonts i verificació

Etiqueta de la font registrada: agost de 2026. Aquesta etiqueta no estableix una verificació independent. Com investiguem.

Microsoft Learn: PowerShell · Windows PowerShell i pwsh
Microsoft Learn: conhost · Amfitrió de la finestra de la consola
Mapa de processos Foxhole · Mostres pròpies recollides en ordinadors amb Windows. No és una prova de referència de laboratori.
Microsoft Sysinternals: Sigcheck · Explica com inspeccionar signatures de fitxers. Aquesta referència no estableix la identitat ni la seguretat d'un fitxer en execució concret.
Microsoft: Get-CimInstance · Mètode de consulta de processos locals de només lectura.
Microsoft: propietats de Win32_Process · Documenta els ID de procés, les rutes executables, les dates de creació i la reutilització de l'ID del pare.

Ha estat útil aquest article?

Un sí o un no és suficient. Trieu un motiu si voleu, o afegiu una breu nota.