powershell.exe

SovellusprosessiMicrosoft Corporation

Hakutermit luetteloon powershell, windows powershell

WindowsSovellus

Windows PowerShell 5.1. pwsh.exe on PowerShell 7. Molemmat voivat olla läsnä. Konsoli-ikkuna on usein conhost.exe.

Mitä sinun tulee tietää

Tämä on Windows PowerShell 5.1. Komentorivillä oleva komentosarja on riski, ei isännän nimi.

powershell.exe on Windows PowerShell. pwsh.exe on uudempi PowerShell. conhost.exe piirtää ikkunan. Word-makron käynnistämä piilotettu powershell.exe liittyy komentoriviin.

Turvallinen?: Tarkista suoritettavan tiedoston polku, allekirjoitus ja julkaisija. Pelkkä nimi ei takaa turvallisuutta.
Sama kuin pwsh?: Ei. pwsh on PowerShell 7
Miksi conhost on siellä?: Se on konsoli-ikkuna

Feex sanoo

En koskaan kutsu powershell.exe-tiedostoa haittaohjelmaksi vain siksi, että se on käynnissä. Luen komentorivin. Allekirjoitettu isäntä, joka käynnistää Temp-komentosarjan, on ongelma.

Mikä on powershell.exe?

powershell.exe on Windows PowerShell 5.1, joka toimitetaan Windowsin mukana. Se ei ole pwsh.exe, joka asennetaan Microsoftilta nimellä PowerShell 7.

Mitä se tekee?

Se suorittaa komentosarjoja ja cmdlet-komentoja. Suorituskäytäntö voi estää allekirjoittamattomat paikalliset komentosarjat. Ohitus komentorivillä on hälytysmerkki, jos et itse kirjoittanut sitä.

Miksi se on käynnissä?

Avasit komentokehotteen, ajoitettu tehtävä tai asennusohjelma käynnisti komentosarjan. Myös tiedostoton haittaohjelma käyttää tätä isäntää. Polku ja komentorivi ratkaisevat tilanteen.

Tarkasta käynnissä oleva instanssi

Windows PowerShellissä tämä vain luku -kysely luetteloi vastaavat prosessi-ID:t, luontiajat ja suoritettavat polut tällä tietokoneella.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Ei tulosta tai saavuttamaton polku on ratkaisematon. Suojatut prosessit voivat rajoittaa pääsyä, ja prosessi-ID:itä voidaan käyttää uudelleen. Pidä henkilökohtaiset polut paikallisina.

Käytä tiedostoidentiteettiopasta allekirjoitusten ja tuotemetatietojen vertailuun. Pelkkä tiedostonimi ei voi vahvistaa turvallisuutta.

Onko se turvallinen?

Isäntä on laillinen. Komentosarja on kysymysmerkki

System32- tai SysWOW64-kansion powershell.exe on Windowsin isäntä. Turvallisuuden ratkaisevat ylätason prosessi sekä argumentit -Command / -EncodedCommand. Pelkkään tiedostonimeen perustuvat arviot epäonnistuvat tässä.

Vertaa tallennettua sijaintia todelliseen tiedostoon. Tuttu kansio yksinään ei vahvista identiteettiä.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

PowerShell 7 on pwsh.exe
32-bittinen isäntä sijaitsee SysWOW64-kansiossa
Lue aina argumentit

Voinko lopettaa sen?

Pysäyttää kyseisen komentosarjan

Prosessin powershell.exe lopettaminen sulkee kyseisen istunnon. Jos tehtävä käynnistää sen uudelleen, etsi tehtävä. Prosessin conhost.exe lopettaminen sulkee vain ikkunan.

Voinko poistaa sen?

Älä poista powershell.exe-tiedostoa. Rajoita komentosarjojen suoritusta käytännöllä, jos tämä on lukittu tietokone. Windowsin ylläpito edellyttää isäntää.

Pitäisikö sen käynnistyä Windowsin mukana?

Käynnistys-kansion PowerShell piilotetulla ikkunalla viittaa pysyvyystarkistukseen. Itse luomasi interaktiivinen pikakuvake on kunnossa.

Mittaa resurssien käyttöä

Mittaa nykyinen prosessi oletetun universaalin perustason sijaan
CPU ja muisti	Vertaa useita havaintoja samasta PID:stä ja työkuormasta. Tällä merkinnällä ei ole itsenäisesti mitattua universaalia perustasoa.
Levy ja verkko	Liitä toiminta todelliseen prosessiin ja nykyiseen tehtävään; pelkkä tiedostonimi ei vahvista odotettuja kohteita tai siirtomäärää.

Tiedoston tiedot

Tiedoston powershell.exe tiedot
Suoritettavan tiedoston nimi	powershell.exe
Tallennnettu asennuspolku	C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Julkaisija	Microsoft Corporation
Allekirjoituksen tarkistus	Tarkasta todellinen tiedosto; tämä merkintä ei todista sen varmenteen identiteettiä.

Yleiset ongelmat

EncodedCommand sisäänkirjautumisen yhteydessä

Kopioi rivi ja pura sen koodaus turvallisessa editorissa. Se on hyötykuorma, kyse ei ole siitä, että "PowerShell on virus".

Sekoitetaan cmd-komentotulkkiin

Eräajotiedostot kuuluvat prosessille cmd.exe. PowerShell-profiilit ovat eri käynnistystiedosto.

Vianmääritys

Tee vianmääritys ennen kuin teet mitään peruuttamatonta.

Tarkista ylätason PID

Powershellin käynnistävä winword liittyy Office-makroihin. Sen käynnistävä explorer sen jälkeen, kun napsautit pikakuvaketta, olet sinä itse.

Älä poista PowerShelliä käytöstä yhden komentosarjan pysäyttämiseksi

Poista tehtävä tai asiakirja. Isäntä on työkalu.

Tekniset tiedot

powershell.exe tekniset tiedot
Kuvatiedoston nimi	powershell.exe
Sisarprosessi	pwsh.exe (PowerShell 7)

Tarkista käynnissä olevan tiedoston aitous

Pelkkä tiedostonimi ei voi vahvistaa turvallisuutta. Vahvista todellinen polku, allekirjoitus ja tuotteen identiteetti.

Lähteet ja vahvistus

Kirjattu lähdemerkintä: elokuu 2026. Tämä merkintä ei muodosta riippumatonta vahvistusta. Miten tutkimme.

Microsoft Learn: PowerShell · Windows PowerShell ja pwsh
Microsoft Learn: conhost · Konsoli-ikkunan isäntä
Foxhole-prosessikartta · Ensimmäisen osapuolen näytteitä Windows-tietokoneilta. Ei laboratoriomittaus.
Microsoft Sysinternals: Sigcheck · Selittää, miten tiedostojen allekirjoitukset tarkistetaan. Tämä viite ei vahvista tietyn käynnissä olevan tiedoston identiteettiä tai turvallisuutta.
Microsoft: Get-CimInstance · Vain luku -paikallinen prosessikyselymenetelmä.
Microsoft: Win32_Process -ominaisuudet · Dokumentoi prosessi-ID:t, suoritettavat polut, luontipäivämäärät ja vanhemman ID:n uudelleenkäyttö.

Oliko tämä artikkeli hyödyllinen?

Kyllä tai ei riittää. Valitse halutessasi syy tai lisää lyhyt viesti.