Hopp til innhold

powershell.exe

ProgramprosessMicrosoft Corporation

Katalogsøkord powershell, windows powershell

WindowsProgram

Windows PowerShell 5.1. pwsh.exe er PowerShell 7. Begge kan være til stede. Konsollvinduet er ofte conhost.exe.

Dette må du vite

Dette er Windows PowerShell 5.1. Skriptet på kommandolinjen er risikoen, ikke vertsnavnet.

powershell.exe er Windows PowerShell. pwsh.exe er den nyere PowerShell. conhost.exe tegner vinduet. En skjult powershell.exe fra en Word-makro er en kommandolinjesak.

Trygg?
Sjekk den kjørende filens bane, signatur og utgiver. Navnet alene kan ikke fastslå sikkerhet.
Samme som pwsh?
Nei. pwsh er PowerShell 7
Hvorfor er conhost der?
Det er konsollvinduet
Feex mener
Jeg kaller aldri powershell.exe skadelig programvare bare fordi den kjører. Jeg leser kommandolinjen. En signert vert som starter et Temp-skript, er problemet.

Hva er powershell.exe?

powershell.exe er Windows PowerShell 5.1, levert med Windows. Det er ikke pwsh.exe, som du installerer som PowerShell 7 fra Microsoft.

Hva gjør den?

Den kjører skript og cmdleter. Kjøringspolicy kan blokkere usignerte lokale skript. En overstyring på kommandolinjen er et faresignal hvis du ikke skrev den inn selv.

Hvorfor kjører den?

Du åpnet en ledetekst, en planlagt oppgave eller et installasjonsprogram startet et skript. Filløs skadelig programvare bruker også denne verten. Bane pluss kommandolinje avgjør saken.

Inspiser den kjørende instansen

I Windows PowerShell lister denne skrivebeskyttede spørringen matchende prosess-ID-er, opprettelsestider og kjørbare stier på denne PC-en.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Intet resultat eller en utilgjengelig sti er konklusjonsløst. Beskyttede prosesser kan begrense tilgang, og prosess-ID-er kan gjenbrukes. Hold personlige stier lokale.

Bruk fil-identitetsveiledning for å sammenligne signaturer og produktmetadata. Et filnavn alene kan ikke fastslå sikkerhet.

Er den trygg?

Verten er legitim. Skriptet er spørsmålet

System32- eller SysWOW64-powershell.exe er Windows-verten. Sikkerheten avgjøres av overordnet prosess og linjen med -Command / -EncodedCommand. Vurderinger basert utelukkende på filnavn duger ikke her.

Sammenlign den registrerte plasseringen med den faktiske filen. En kjent mappe alene etablerer ikke identitet.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • PowerShell 7 er pwsh.exe
  • 32-biters vert ligger under SysWOW64
  • Les alltid argumentene

Kan jeg avslutte den?

Stopper dette skriptet

Å avslutte powershell.exe dreper den økten. Hvis en oppgave starter den på nytt, finn oppgaven. Å avslutte conhost.exe lukker bare vinduet.

Kan jeg fjerne den?

Nei

Ikke slett powershell.exe. Begrens skriptkjøring med policy hvis dette er en låst PC. Windows-vedlikehold forventer verten.

Bør den starte med Windows?

En PowerShell i Oppstart med skjult vindu er en sjekk for persistens. En interaktiv snarvei du opprettet, er greit.

Mål ressursbruk

Mål den gjeldende prosessen i stedet for å anta en universell baseline
CPU og minne Sammenlign flere observasjoner for samme PID og arbeidsmengde. Denne oppføringen har ingen uavhengig målt universell baseline.
Disk og nettverk Tilskriv aktivitet til den faktiske prosessen og gjeldende oppgave; et filnavn alene etablerer ikke forventede destinasjoner eller overføringsvolum.

Filinformasjon

Filinformasjon for powershell.exe
Eksekverbart navn powershell.exe
Registrert installasjonssti C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Utgiver Microsoft Corporation
Signatursjekk Inspiser den faktiske filen; denne oppføringen sertifiserer ikke dens sertifikatidentitet.

Vanlige problemer

EncodedCommand ved pålogging

Kopier linjen og dekod den i et trygt redigeringsprogram. Det er nyttelasten, ikke "PowerShell er et virus".

Forveksles med cmd

Satsvise filer er cmd.exe. PowerShell-profiler er en annen oppstartsfil.

Feilsøking

Diagnostiser før du gjør noe destruktivt.

Undersøk overordnet PID

winword som starter powershell, er en Office-makrosak. explorer som starter den etter at du klikket på en snarvei, er deg.

Ikke deaktiver PowerShell for å stoppe ett skript

Fjern oppgaven eller dokumentet. Verten er et verktøy.

Tekniske detaljer

Tekniske detaljer
Tekniske detaljer for powershell.exe
Bildenavn powershell.exe
Søsken pwsh.exe (PowerShell 7)

Kontroller identiteten til en kjørende fil

Et filnavn alene kan ikke fastslå sikkerhet. Verifiser den faktiske stien, signaturen og produktidentiteten.

Kilder og verifisering

Registrert kildeetikett: August 2026. Denne etiketten etablerer ikke uavhengig verifisering. Hvordan vi gjør undersøkelser.

Var denne artikkelen nyttig?

Et ja eller nei holder. Velg en grunn hvis du vil, eller legg til en kort kommentar.

Var denne artikkelen nyttig?