Pređi na sadržaj

powershell.exe

Proces aplikacijeMicrosoft Corporation

Pojmovi za pretragu kataloga powershell, windows powershell

WindowsAplikacija

Windows PowerShell 5.1. pwsh.exe je PowerShell 7. Oba mogu biti prisutna. Prozor konzole je često conhost.exe.

Šta treba da znate

Ovo je Windows PowerShell 5.1. Skripta na komandnoj liniji predstavlja rizik, a ne ime hosta.

powershell.exe je Windows PowerShell. pwsh.exe je noviji PowerShell. conhost.exe iscrtava prozor. Skriveni powershell.exe pokrenut iz Word makroa je priča o komandnoj liniji.

Bezbjedan?
Provjerite putanju, potpis i izdavača pokrenute datoteke. Samo ime ne može garantovati bezbjednost.
Isto što i pwsh?
Ne. pwsh je PowerShell 7
Zašto je conhost tu?
To je konzolni prozor
Feex navodi
Nikada ne nazivam powershell.exe zlonamjernim softverom samo zato što je pokrenut. Čitam komandnu liniju. Potpisani host koji pokreće Temp skriptu predstavlja problem.

Šta je powershell.exe?

powershell.exe je Windows PowerShell 5.1, isporučen uz Windows. To nije pwsh.exe, koji instalirate kao PowerShell 7 od Microsoft-a.

Čemu služi?

Izvršava skripte i cmdlet-ove. Pravila izvršavanja mogu blokirati nepotpisane lokalne skripte. Zaobilaženje na komandnoj liniji je znak upozorenja ako ga niste sami unijeli.

Zašto se izvršava?

Otvorili ste komandnu liniju, planirani zadatak ili je instalacioni program pokrenuo skriptu. Zlonamjerni softver bez fajlova takođe koristi ovaj host. Putanja zajedno sa komandnom linijom otkriva suštinu.

Pregledajte pokrenutu instancu

U Windows PowerShell-u, ovaj upit samo za čitanje navodi odgovarajuće ID-jeve procesa, vremena kreiranja i izvršne putanje na ovom računaru.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Nema rezultata ili je nepristupačna putanja neuvjerljiva. Zaštićeni procesi mogu ograničiti pristup, a ID-jevi procesa se mogu ponovo koristiti. Zadržite lične putanje lokalno.

Koristite vodič za identifikaciju datoteka za poređenje potpisa i metapodataka proizvoda. Sam naziv datoteke ne može utvrditi sigurnost.

Da li je bezbjedan?

Host je legitiman. Skripta je pod znakom pitanja

System32 ili SysWOW64 powershell.exe je Windows host. Bezbjednost zavisi od matičnog procesa i -Command / -EncodedCommand linije. Procjene samo na osnovu imena fajla ovdje ne funkcionišu.

Uporedite zabilježenu lokaciju sa stvarnom datotekom. Poznati folder sam po sebi ne utvrđuje identitet.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • PowerShell 7 je pwsh.exe
  • 32-bitni host se nalazi pod SysWOW64
  • Uvijek pročitajte argumente

Mogu li ga prekinuti?

Zaustavlja tu skriptu

Prekidanje powershell.exe gasi tu sesiju. Ako ga zadatak ponovo pokrene, pronađite taj zadatak. Prekidanje conhost.exe samo zatvara prozor.

Mogu li ga ukloniti?

Ne

Nemojte brisati powershell.exe. Ograničite izvršavanje skripti putem polisa ako je riječ o zaštićenom računaru. Servisiranje Windows-a očekuje postojanje ovog hosta.

Da li treba da se pokreće sa Windows-om?

Startup PowerShell sa skrivenim prozorom ukazuje na provjeru perzistencije. Interaktivna prečica koju ste sami kreirali je u redu.

Mjerite upotrebu resursa

Mjerite trenutni proces umjesto da pretpostavljate univerzalnu osnovnu liniju
CPU i memorija Uporedite nekoliko zapažanja za isti PID i radno opterećenje. Ovaj unos nema nezavisno izmjerenu univerzalnu osnovnu liniju.
Disk i mreža Pripisujte aktivnost stvarnom procesu i trenutnom zadatku; naziv datoteke sam po sebi ne utvrđuje očekivane destinacije ili obim prenosa.

Informacije o datoteci

Informacije o fajlu powershell.exe
Naziv izvršne datoteke powershell.exe
Zabilježena putanja instalacije C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Izdavač Microsoft Corporation
Provjera potpisa Pregledajte stvarnu datoteku; ovaj unos ne potvrđuje identitet njenog sertifikata.

Uobičajeni problemi

EncodedCommand pri prijavi na sistem

Kopirajte liniju i dekodirajte je u bezbjednom editoru. To je teret, a ne "PowerShell je virus".

Miješanje sa cmd

Batch fajlovi pripadaju cmd.exe. PowerShell profili su drugačiji fajl za pokretanje.

Rješavanje problema

Uspostavite dijagnozu prije nego što napravite bilo kakvu destruktivnu promjenu.

Provjerite PID roditeljskog procesa

Kada winword pokreće powershell, riječ je o Office makrou. Kada ga explorer pokrene nakon što ste kliknuli na prečicu, pokrenuli ste ga vi.

Nemojte onemogućavati PowerShell da biste zaustavili jednu skriptu

Uklonite zadatak ili dokument. Host je samo alat.

Tehnički detalji

Tehnički detalji
Tehnički detalji o powershell.exe
Naziv slike powershell.exe
Srodni proces pwsh.exe (PowerShell 7)

Provjerite identitet pokrenutog fajla

Sam naziv datoteke ne može utvrditi sigurnost. Provjerite stvarnu putanju, potpis i identitet proizvoda.

Izvori i verifikacija

Zabilježena oznaka izvora: avgust 2026. Ova oznaka ne predstavlja nezavisnu verifikaciju. Kako istražujemo.

Da li je ovaj članak bio koristan?

Dovoljno je da označite sa da ili ne. Izaberite razlog ako želite, ili dodajte kratku napomenu.

Da li je ovaj članak bio koristan?