powershell.exe
Katalóg keresési kifejezések powershell, windows powershell
Windows PowerShell 5.1. A pwsh.exe a PowerShell 7. Mindkettő jelen lehet a rendszeren. A konzolablak gyakran a conhost.exe.
Amit tudni érdemes
Ez a Windows PowerShell 5.1. A parancssorban megadott szkript jelenti a kockázatot, nem maga a gazdafolyamat neve.
A powershell.exe a Windows PowerShell. A pwsh.exe az újabb PowerShell. A conhost.exe jeleníti meg az ablakot. Egy Word-makró által indított rejtett powershell.exe parancssori vizsgálatot igényel.
- Biztonságos?
- Ellenőrizze a futó fájl elérési útját, aláírását és kiadóját. A név önmagában nem garantálja a biztonságot.
- Ugyanaz, mint a pwsh?
- Nem. A pwsh a PowerShell 7
- Miért van ott a conhost?
- Az a konzolablak
Mi az a powershell.exe?
A powershell.exe a Windows részeként szállított Windows PowerShell 5.1. Nem azonos a pwsh.exe fájllal, amelyet PowerShell 7 néven a Microsofttól telepíthet.
Mit csinál?
Szkripteket és parancsmagokat futtat. A végrehajtási szabályzat letilthatja a nem aláírt helyi szkripteket. A parancssorban szereplő megkerülés (bypass) gyanús jel, ha nem ön gépelte be.
Miért fut?
Megnyitott egy parancssort, vagy egy ütemezett feladat, esetleg egy telepítő futtatott le egy szkriptet. Fájl nélküli kártevők is használják ezt a gazdafolyamatot. Az útvonal és a parancssor együttesen határozza meg a helyzetet.
Futtatási példány ellenőrzése
A Windows PowerShellben ez az írásvédett lekérdezés felsorolja a megfelelő folyamatazonosítókat, létrehozási időket és futtatható fájlok elérési útjait ezen a PC-n.
Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List
Az eredmény hiánya vagy egy hozzáférhetetlen elérési út nem meggyőző. A védett folyamatok korlátozhatják a hozzáférést, és a folyamatazonosítók újra felhasználhatók. Tartsa a személyes elérési utakat helyi szinten.
Használja a fájl-azonosító útmutatót az aláírások és a termék metaadatok összehasonlításához. Csak egy fájlnév önmagában nem állapíthatja meg a biztonságot.
Biztonságos?
A gazdafolyamat legitim. A szkript a kérdéses
A System32 vagy SysWOW64 mappában található powershell.exe a Windows saját gazdafolyamata. A biztonság a szülőfolyamattól és a -Command / -EncodedCommand sortól függ. A kizárólag fájlnévre épülő döntések itt megbuknak.
Hasonlítsa össze a rögzített helyet a tényleges fájllal. Egy ismerős mappa önmagában nem állapítja meg az azonosságot.
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
- A PowerShell 7 a pwsh.exe
- A 32 bites gazdafolyamat a SysWOW64 alatt található
- Mindig olvassa el az argumentumokat
Leállíthatom?
Leállítja az adott szkriptet
A powershell.exe leállítása megszakítja az adott munkamenetet. Ha egy feladat újraindítja, keresse meg azt a feladatot. A conhost.exe leállítása csak az ablakot zárja be.
Eltávolíthatom?
Nem
Ne törölje a powershell.exe fájlt. Szigorúan védett számítógépen szabályzattal korlátozza a szkriptfuttatást. A Windows karbantartási összetevői számítanak a gazdafolyamat meglétére.
El kell indulnia a Windowszal együtt?
Egy rejtett ablakkal induló PowerShell az automatikusan induló elemek között jelenlét-fenntartási ellenőrzést jelezhet. Egy ön által létrehozott interaktív parancsikon teljesen rendben van.
Mérje az erőforrás-felhasználást
| CPU és memória | Hasonlítsa össze több megfigyelést ugyanazon PID és munkaterhelés esetében. Ez a bejegyzés nem rendelkezik függetlenül mért egyetemes alapvonallal. |
|---|---|
| Lemez és hálózat | Aktivitást rendeljen hozzá a tényleges folyamathoz és az aktuális feladathoz; egy fájlnév önmagában nem állapítja meg a várt célállomásokat vagy az átviteli mennyiséget. |
Fájlinformációk
| Futtatható fájl neve | powershell.exe |
|---|---|
| Rögzített telepítési elérési út | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe |
| Kiadó | Microsoft Corporation |
| Aláírás ellenőrzése | Vizsgálja meg a tényleges fájlt; ez a bejegyzés nem tanúsítja a tanúsítványának azonosságát. |
Gyakori problémák
EncodedCommand bejelentkezéskor
Másolja ki a sort, és fejtse vissza egy biztonságos szerkesztőben. Az tartalmazza a hasznos terhet, nem maga a "PowerShell vírus".
Összetévesztik a cmd-vel
A kötegfájlok a cmd.exe alá tartoznak. A PowerShell-profilok ettől eltérő indítófájlok.
Hibaelhárítás
Végezzen diagnosztikát, mielőtt bármilyen destruktív módosítást hajtana végre.
Vizsgálja meg a szülő PID-et
Ha a winword indítja a powershellt, az Office-makróra utal. Ha az explorer indítja egy parancsikonra kattintás után, azt ön kezdeményezte.
Ne tiltsa le a PowerShellt egyetlen szkript megállítása miatt
Távolítsa el a feladatot vagy a dokumentumot. A gazdafolyamat csupán egy eszköz.
Műszaki adatok
Műszaki adatok
| Képnév | powershell.exe |
|---|---|
| Kapcsolódó folyamat | pwsh.exe (PowerShell 7) |
Futó fájl azonosságának ellenőrzése
Csak egy fájlnév önmagában nem állapíthatja meg a biztonságot. Ellenőrizze a tényleges elérési utat, az aláírást és a termék azonosítását.
Források és ellenőrzés
Rögzített forráscímke: 2026. augusztus. Ez a címke nem jelent független ellenőrzést. Hogyan kutatunk.
- Microsoft Learn: PowerShell · Windows PowerShell és pwsh
- Microsoft Learn: conhost · Konzolablak gazdafolyamata
- Foxhole folyamattérkép · Első féltől származó minták Windows rendszerű számítógépeken. Nem laboratóriumi teljesítményteszt.
- Microsoft Sysinternals: Sigcheck · Bemutatja, hogyan ellenőrizhetők a fájlaláírások. Ez a hivatkozás nem állapítja meg egy adott futó fájl azonosságát vagy biztonságosságát.
- Microsoft: Get-CimInstance · Írásvédett helyi folyamat-lekérdezési módszer.
- Microsoft: Win32_Process tulajdonságok · Dokumentálja a folyamatazonosítókat, futtatható fájlok elérési útjait, létrehozási dátumokat és a szülőazonosító újrahasználatát.
Hasznos volt ez a cikk?
Egy igen vagy nem is elég. Válasszon egy indokot, ha szeretne, vagy írjon egy rövid megjegyzést.
Köszönjük. Ez segít az oldal fejlesztésében.