powershell.exe

Διεργασία εφαρμογήςMicrosoft Corporation

Όροι αναζήτησης καταλόγου powershell, windows powershell

WindowsΕφαρμογή

Windows PowerShell 5.1. Το pwsh.exe είναι το PowerShell 7. Μπορούν να συνυπάρχουν και τα δύο. Το παράθυρο της κονσόλας είναι συχνά το conhost.exe.

Τι πρέπει να γνωρίζετε

Αυτό είναι το Windows PowerShell 5.1. Ο κίνδυνος είναι το σενάριο στη γραμμή εντολών, όχι το όνομα του κεντρικού υπολογιστή.

Το powershell.exe είναι το Windows PowerShell. Το pwsh.exe είναι το νεότερο PowerShell. Το conhost.exe σχεδιάζει το παράθυρο. Ένα κρυφό powershell.exe από μακροεντολή του Word είναι ζήτημα γραμμής εντολών.

Ασφαλές;: Ελέγξτε τη διαδρομή, την υπογραφή και τον εκδότη του εκτελούμενου αρχείου. Το όνομα από μόνο του δεν μπορεί να εγγυηθεί την ασφάλεια.
Το ίδιο με το pwsh;: Όχι. Το pwsh είναι το PowerShell 7
Γιατί υπάρχει το conhost;: Αυτό είναι το παράθυρο της κονσόλας

Το Feex λέει

Δεν αποκαλώ ποτέ το powershell.exe κακόβουλο λογισμικό απλώς επειδή εκτελείται. Ελέγχω τη γραμμή εντολών. Ένας υπογεγραμμένος κεντρικός υπολογιστής που εκκινεί ένα σενάριο από το Temp είναι το πρόβλημα.

Τι είναι το powershell.exe;

Το powershell.exe είναι το Windows PowerShell 5.1, το οποίο περιλαμβάνεται στα Windows. Δεν είναι το pwsh.exe, το οποίο εγκαθιστάτε ως PowerShell 7 από τη Microsoft.

Τι κάνει;

Εκτελεί σενάρια και cmdlets. Η πολιτική εκτέλεσης μπορεί να αποκλείσει μη υπογεγραμμένα τοπικά σενάρια. Μια παράκαμψη στη γραμμή εντολών αποτελεί ένδειξη κινδύνου εάν δεν την πληκτρολογήσατε εσείς.

Γιατί εκτελείται;

Ανοίξατε μια γραμμή εντολών, μια προγραμματισμένη εργασία ή ένα πρόγραμμα εγκατάστασης εκκίνησε ένα σενάριο. Το κακόβουλο λογισμικό χωρίς αρχεία χρησιμοποιεί επίσης αυτόν τον κεντρικό υπολογιστή. Η διαδρομή μαζί με τη γραμμή εντολών καθορίζουν τι συμβαίνει.

Επιθεωρήστε την εκτελούμενη παρουσία

Στο Windows PowerShell, αυτό το ερώτημα μόνο για ανάγνωση παραθέτει τα αντίστοιχα αναγνωριστικά διεργασιών, τους χρόνους δημιουργίας και τις διαδρομές εκτελέσιμων αρχείων σε αυτόν τον υπολογιστή.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Κανένα αποτέλεσμα ή μη προσβάσιμη διαδρομή είναι ασαφές. Οι προστατευμένες διεργασίες ενδέχεται να περιορίζουν την πρόσβαση και τα αναγνωριστικά διεργασιών μπορούν να επαναχρησιμοποιηθούν. Διατηρήστε τις προσωπικές διαδρομές τοπικές.

Χρησιμοποιήστε τον οδηγό αναγνώρισης αρχείου για να συγκρίνετε υπογραφές και μεταδεδομένα προϊόντος. Ένα όνομα αρχείου από μόνο του δεν μπορεί να διασφαλίσει την ασφάλεια.

Είναι ασφαλές;

Ο κεντρικός υπολογιστής είναι νόμιμος. Το ερώτημα είναι το σενάριο

Το powershell.exe στο System32 ή στο SysWOW64 είναι ο κεντρικός υπολογιστής των Windows. Η ασφάλεια εξαρτάται από τη γονική διεργασία και τη γραμμή -Command / -EncodedCommand. Οι εκτιμήσεις που βασίζονται μόνο στο όνομα αρχείου αποτυγχάνουν εδώ.

Συγκρίνετε την καταγεγραμμένη τοποθεσία με το πραγματικό αρχείο. Ένας οικείος φάκελος από μόνος του δεν εδραιώνει την ταυτότητα.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

Το PowerShell 7 είναι το pwsh.exe
Ο κεντρικός υπολογιστής 32-bit βρίσκεται κάτω από το SysWOW64
Διαβάζετε πάντα τα ορίσματα

Μπορώ να το τερματίσω;

Διακόπτει αυτήν τη δέσμη ενεργειών

Ο τερματισμός του powershell.exe διακόπτει αυτήν την περίοδο λειτουργίας. Εάν μια εργασία το επανεκκινήσει, βρείτε την εργασία. Ο τερματισμός του conhost.exe απλώς κλείνει το παράθυρο.

Μπορώ να το καταργήσω;

Όχι

Μην διαγράφετε το powershell.exe. Περιορίστε την εκτέλεση σεναρίων με πολιτική εάν πρόκειται για αυστηρά ελεγχόμενο υπολογιστή. Η συντήρηση των Windows απαιτεί αυτόν τον κεντρικό υπολογιστή.

Πρέπει να ξεκινά με τα Windows;

Ένα PowerShell κατά την Εκκίνηση με κρυφό παράθυρο αποτελεί ένδειξη παραμονής απειλής. Μια διαδραστική συντόμευση που δημιουργήσατε εσείς είναι ασφαλής.

Μέτρηση χρήσης πόρων

Μετρήστε την τρέχουσα διεργασία αντί να υποθέσετε μια καθολική βάση αναφοράς
CPU και μνήμη	Συγκρίνετε πολλές παρατηρήσεις για το ίδιο PID και φόρτο εργασίας. Αυτή η καταχώρηση δεν έχει ανεξάρτητα μετρημένη καθολική βάση αναφοράς.
Δίσκος και δίκτυο	Αποδώστε τη δραστηριότητα στην πραγματική διεργασία και την τρέχουσα εργασία. ένα όνομα αρχείου από μόνο του δεν καθορίζει αναμενόμενους προορισμούς ή όγκο μεταφοράς.

Πληροφορίες αρχείου

Πληροφορίες αρχείου powershell.exe
Όνομα εκτελέσιμου	powershell.exe
Καταγεγραμμένη διαδρομή εγκατάστασης	C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Εκδότης	Microsoft Corporation
Έλεγχος υπογραφής	Επιθεωρήστε το πραγματικό αρχείο. αυτή η καταχώρηση δεν πιστοποιεί την ταυτότητα του πιστοποιητικού της.

Συνήθη προβλήματα

EncodedCommand κατά τη σύνδεση

Αντιγράψτε τη γραμμή και αποκωδικοποιήστε την σε έναν ασφαλή επεξεργαστή. Αυτό είναι το ωφέλιμο φορτίο, όχι ότι «το PowerShell είναι ιός».

Σύγχυση με το cmd

Τα αρχεία δέσμης ενεργειών είναι το cmd.exe. Τα προφίλ PowerShell είναι διαφορετικό αρχείο εκκίνησης.

Αντιμετώπιση προβλημάτων

Κάντε διάγνωση πριν προβείτε σε οποιαδήποτε καταστροφική ενέργεια.

Ελέγξτε το γονικό PID

Η εκκίνηση του powershell από το winword παραπέμπει σε μακροεντολή του Office. Η εκκίνησή του από το explorer αφού κάνατε κλικ σε μια συντόμευση προέρχεται από εσάς.

Μην απενεργοποιείτε το PowerShell για να σταματήσετε ένα μόνο σενάριο

Καταργήστε την εργασία ή το έγγραφο. Ο κεντρικός υπολογιστής είναι απλώς ένα εργαλείο.

Τεχνικές λεπτομέρειες

Τεχνικές λεπτομέρειες του powershell.exe
Όνομα εικόνας	powershell.exe
Σχετικό στοιχείο	pwsh.exe (PowerShell 7)

Έλεγχος της ταυτότητας ενός εκτελούμενου αρχείου

Ένα όνομα αρχείου από μόνο του δεν μπορεί να διασφαλίσει την ασφάλεια. Επαληθεύστε την πραγματική διαδρομή, την υπογραφή και την ταυτότητα του προϊόντος.

Πηγές και επαλήθευση

Καταγεγραμμένη ετικέτα πηγής: Αύγουστος 2026. Αυτή η ετικέτα δεν καθορίζει ανεξάρτητη επαλήθευση. Πώς ερευνούμε.

Microsoft Learn: PowerShell · Windows PowerShell και pwsh
Microsoft Learn: conhost · Κεντρικός υπολογιστής παραθύρου κονσόλας
Χάρτης διεργασιών Foxhole · Δείγματα πρώτου μέρους σε υπολογιστές με Windows. Δεν αποτελεί εργαστηριακό σημείο αναφοράς.
Microsoft Sysinternals: Sigcheck · Εξηγεί πώς να ελέγχετε τις υπογραφές αρχείων. Αυτή η αναφορά δεν καθορίζει την ταυτότητα ή την ασφάλεια ενός συγκεκριμένου αρχείου που εκτελείται.
Microsoft: Get-CimInstance · Μέθοδος ερώτησης τοπικής διεργασίας μόνο για ανάγνωση.
Microsoft: Win32_Process properties · Τεκμηριώνει αναγνωριστικά διεργασιών, διαδρομές εκτελέσιμων αρχείων, ημερομηνίες δημιουργίας και επαναχρησιμοποίηση γονικού αναγνωριστικού.

Ήταν χρήσιμο αυτό το άρθρο;

Ένα ναι ή όχι είναι αρκετό. Επιλέξτε έναν λόγο εάν θέλετε ή προσθέστε μια σύντομη σημείωση.