1. [Wiki](https://feex.it/wiki/)
2. [Processer](https://feex.it/wiki/process/)
3. [Applikationsprocesser](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

Programproces: Microsoft Corporation

Katalogsøgetermer powershell, windows powershell

Windows, Program

Windows PowerShell 5.1. pwsh.exe er PowerShell 7. De kan begge være til stede. Konsolvinduet er ofte conhost.exe.

## Hvad du behøver at vide

Dette er Windows PowerShell 5.1. Scriptet på kommandolinjen er risikoen, ikke værtsnavnet.

powershell.exe er Windows PowerShell. pwsh.exe er den nyere PowerShell. conhost.exe tegner vinduet. En skjult powershell.exe fra en Word-makro er en kommandolinjehistorie.

- **Sikker?**: Kontroller den kørende fils sti, signatur og udgiver. Navnet alene kan ikke fastslå sikkerheden.

  **Det samme som pwsh?**: Nej. pwsh er PowerShell 7

  **Hvorfor er conhost der?**: Det er konsolvinduet

Feex siger

Jeg kalder aldrig powershell.exe for malware, blot fordi den kører. Jeg læser kommandolinjen. En signeret vært, der starter et Temp-script, er problemet.

## Hvad er powershell.exe?

powershell.exe er Windows PowerShell 5.1, som leveres med Windows. Det er ikke pwsh.exe, som du installerer som PowerShell 7 fra Microsoft.

## Hvad gør den?

Den kører scripts og cmdlets. Udførelsespolitikken kan blokere usignerede lokale scripts. En bypass på kommandolinjen er et advarselstegn, hvis du ikke selv har skrevet det.

## Hvorfor kører den?

Du åbnede en kommandoprompt, en planlagt opgave eller et installationsprogram startede et script. Filløs malware bruger også denne vært. Sti plus kommandolinje afgør sagen.

## Inspicer den kørende instans

I Windows PowerShell viser denne skrivebeskyttede forespørgsel matchende proces-ID'er, oprettelsestider og eksekverbare stier på denne pc.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Intet resultat eller en utilgængelig sti er uafklarende. Beskyttede processer kan begrænse adgang, og proces-ID'er kan genbruges. Behold personlige stier lokalt.

Brug [filidentifikationsvejledning](https://feex.it/wiki/l/da/software/system/verify-executable-path-signature/) til at sammenligne signaturer og produktmetadata. Et filnavn alene kan ikke fastslå sikkerhed.

## Er den sikker?

Værten er legitim. Scriptet er spørgsmålet

System32 eller SysWOW64 powershell.exe er Windows-værten. Sikkerheden afhænger af overordnet proces og linjen med -Command / -EncodedCommand. Vurderinger baseret udelukkende på filnavne slår fejl her.

Sammenlign den registrerede placering med den faktiske fil. En velkendt mappe alene fastslår ikke identitet.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 er pwsh.exe
- 32-bit værten findes under SysWOW64
- Læs altid argumenterne

## Kan jeg afslutte den?

Stopper det script

Afslutning af powershell.exe dræber den session. Hvis en opgave genstarter den, skal du finde opgaven. Afslutning af conhost.exe fjerner kun vinduet.

## Kan jeg fjerne den?

Nej

Slet ikke powershell.exe. Begræns kørsel af scripts med politikker, hvis dette er en fastlåst pc. Windows-vedligeholdelse forventer værten.

## Bør den starte med Windows?

En Start-PowerShell med et skjult vindue er et tegn på persistens. En interaktiv genvej, du selv har oprettet, er i orden.

## Mål ressourceforbrug

| CPU og hukommelse | Sammenlign flere observationer for den samme PID og arbejdsbyrde. Denne post har ingen uafhængigt målt universel baseline.                           |
| ----------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------- |
| Disk og netværk   | Tilskriv aktivitet til den faktiske proces og den aktuelle opgave; et filnavn alene fastslår ikke forventede destinationer eller overføringsvolumen. |

## Filoplysninger

| Navn på eksekverbar fil      | powershell.exe                                                                    |
| ---------------------------- | --------------------------------------------------------------------------------- |
| Registreret installationssti | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe                         |
| Udgiver                      | Microsoft Corporation                                                             |
| Signaturkontrol              | Inspicer den faktiske fil; denne post certificerer ikke dens certifikatidentitet. |

## Almindelige problemer

### EncodedCommand ved logon

Kopier linjen, og afkod den i et sikkert redigeringsprogram. Det er nyttelasten, der betyder noget, ikke "PowerShell er en virus".

### Forveksles med cmd

Batchfiler hører til cmd.exe. PowerShell-profiler er en anden startfil.

## Fejlfinding

Diagnosticer, før du ændrer noget destruktivt.

### Undersøg overordnet PID

Når winword starter powershell, er der tale om en Office-makro. Når explorer starter den, efter du har klikket på en genvej, er det dig.

### Deaktiver ikke PowerShell for at stoppe et enkelt script

Fjern opgaven eller dokumentet. Værten er et værktøj.

## Tekniske detaljer

Tekniske detaljer

| Billednavn | powershell.exe          |
| ---------- | ----------------------- |
| Søskende   | pwsh.exe (PowerShell 7) |

## Kontroller identiteten på en kørende fil

Et filnavn alene kan ikke fastslå sikkerhed. Verificer den faktiske sti, signatur og produktidentitet.

## Relateret

Disse enheder har forbindelse til denne artikel. Type vises på hvert link.

[Windows PowerShell: Program](https://feex.it/wiki/l/da/software/windows-powershell/)[cmd.exe: Programproces](https://feex.it/wiki/l/da/process/cmd.exe/)[conhost.exe: Windows-proces](https://feex.it/wiki/l/da/process/conhost.exe/)[Kontroller en eksekverbar sti og digital signatur: Vejledning](https://feex.it/wiki/l/da/software/system/verify-executable-path-signature/)[Læs Jobliste og sammenlign procesaktivitet: Vejledning](https://feex.it/wiki/l/da/software/system/how-to-read-task-manager/)[Applikationsprocesser: Kategori](https://feex.it/wiki/process/application/)

## Kilder og verificering

Registreret kildemærkat: August 2026. Denne mærkat udgør ikke uafhængig verificering. [Sådan undersøger vi](https://feex.it/wiki/research/).

- [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell og pwsh
- [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· Vært for konsolvindue
- [Foxhole-procesoversigt ](https://foxhole.feex.it/)· Førstepartsstikprøver på Windows-pc'er. Ikke en laboratorie-benchmark.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Forklarer, hvordan man undersøger filsignaturer. Denne reference fastslår ikke identiteten eller sikkerheden af en specifik kørende fil.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Skrivebeskyttet lokal procesforespørgselsmetode.
- [Microsoft: Win32_Process egenskaber ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Dokumenterer proces-ID'er, eksekverbare stier, oprettelsesdatoer og genbrug af forældre-ID.

## Var denne artikel nyttig?

Et ja eller nej er nok. Vælg en grund, hvis du vil, eller tilføj en kort bemærkning.

Hurtige fakta

Den korte identitet for denne side. Specifikationer, kilder og hele historien forbliver i artiklen.

- **Type**: Programproces

  **Udgiver**: Microsoft Corporation

  **Eksekverbar fil**: powershell.exe

  **Overordnet app**: [Windows PowerShell](https://feex.it/wiki/l/da/software/windows-powershell/)

  **Registrer kontekst**: Feex Wiki referencepost

Registreret kildestatus: Feex Reviewed: Registreret kildemærkat: August 2026. Denne mærkat udgør ikke uafhængig verificering.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/da/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)