1. [Wiki](https://feex.it/wiki/)
2. [Prosesser](https://feex.it/wiki/process/)
3. [Applikasjonsprosesser](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

Programprosess: Microsoft Corporation

Katalogsøkord powershell, windows powershell

Windows, Program

Windows PowerShell 5.1. pwsh.exe er PowerShell 7. Begge kan være til stede. Konsollvinduet er ofte conhost.exe.

## Dette må du vite

Dette er Windows PowerShell 5.1. Skriptet på kommandolinjen er risikoen, ikke vertsnavnet.

powershell.exe er Windows PowerShell. pwsh.exe er den nyere PowerShell. conhost.exe tegner vinduet. En skjult powershell.exe fra en Word-makro er en kommandolinjesak.

- **Trygg?**: Sjekk den kjørende filens bane, signatur og utgiver. Navnet alene kan ikke fastslå sikkerhet.

  **Samme som pwsh?**: Nei. pwsh er PowerShell 7

  **Hvorfor er conhost der?**: Det er konsollvinduet

Feex mener

Jeg kaller aldri powershell.exe skadelig programvare bare fordi den kjører. Jeg leser kommandolinjen. En signert vert som starter et Temp-skript, er problemet.

## Hva er powershell.exe?

powershell.exe er Windows PowerShell 5.1, levert med Windows. Det er ikke pwsh.exe, som du installerer som PowerShell 7 fra Microsoft.

## Hva gjør den?

Den kjører skript og cmdleter. Kjøringspolicy kan blokkere usignerte lokale skript. En overstyring på kommandolinjen er et faresignal hvis du ikke skrev den inn selv.

## Hvorfor kjører den?

Du åpnet en ledetekst, en planlagt oppgave eller et installasjonsprogram startet et skript. Filløs skadelig programvare bruker også denne verten. Bane pluss kommandolinje avgjør saken.

## Inspiser den kjørende instansen

I Windows PowerShell lister denne skrivebeskyttede spørringen matchende prosess-ID-er, opprettelsestider og kjørbare stier på denne PC-en.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Intet resultat eller en utilgjengelig sti er konklusjonsløst. Beskyttede prosesser kan begrense tilgang, og prosess-ID-er kan gjenbrukes. Hold personlige stier lokale.

Bruk [fil-identitetsveiledning](https://feex.it/wiki/l/nb/software/system/verify-executable-path-signature/) for å sammenligne signaturer og produktmetadata. Et filnavn alene kan ikke fastslå sikkerhet.

## Er den trygg?

Verten er legitim. Skriptet er spørsmålet

System32- eller SysWOW64-powershell.exe er Windows-verten. Sikkerheten avgjøres av overordnet prosess og linjen med -Command / -EncodedCommand. Vurderinger basert utelukkende på filnavn duger ikke her.

Sammenlign den registrerte plasseringen med den faktiske filen. En kjent mappe alene etablerer ikke identitet.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 er pwsh.exe
- 32-biters vert ligger under SysWOW64
- Les alltid argumentene

## Kan jeg avslutte den?

Stopper dette skriptet

Å avslutte powershell.exe dreper den økten. Hvis en oppgave starter den på nytt, finn oppgaven. Å avslutte conhost.exe lukker bare vinduet.

## Kan jeg fjerne den?

Nei

Ikke slett powershell.exe. Begrens skriptkjøring med policy hvis dette er en låst PC. Windows-vedlikehold forventer verten.

## Bør den starte med Windows?

En PowerShell i Oppstart med skjult vindu er en sjekk for persistens. En interaktiv snarvei du opprettet, er greit.

## Mål ressursbruk

| CPU og minne     | Sammenlign flere observasjoner for samme PID og arbeidsmengde. Denne oppføringen har ingen uavhengig målt universell baseline.                       |
| ---------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------- |
| Disk og nettverk | Tilskriv aktivitet til den faktiske prosessen og gjeldende oppgave; et filnavn alene etablerer ikke forventede destinasjoner eller overføringsvolum. |

## Filinformasjon

| Eksekverbart navn           | powershell.exe                                                                             |
| --------------------------- | ------------------------------------------------------------------------------------------ |
| Registrert installasjonssti | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe                                  |
| Utgiver                     | Microsoft Corporation                                                                      |
| Signatursjekk               | Inspiser den faktiske filen; denne oppføringen sertifiserer ikke dens sertifikatidentitet. |

## Vanlige problemer

### EncodedCommand ved pålogging

Kopier linjen og dekod den i et trygt redigeringsprogram. Det er nyttelasten, ikke "PowerShell er et virus".

### Forveksles med cmd

Satsvise filer er cmd.exe. PowerShell-profiler er en annen oppstartsfil.

## Feilsøking

Diagnostiser før du gjør noe destruktivt.

### Undersøk overordnet PID

winword som starter powershell, er en Office-makrosak. explorer som starter den etter at du klikket på en snarvei, er deg.

### Ikke deaktiver PowerShell for å stoppe ett skript

Fjern oppgaven eller dokumentet. Verten er et verktøy.

## Tekniske detaljer

Tekniske detaljer

| Bildenavn | powershell.exe          |
| --------- | ----------------------- |
| Søsken    | pwsh.exe (PowerShell 7) |

## Kontroller identiteten til en kjørende fil

Et filnavn alene kan ikke fastslå sikkerhet. Verifiser den faktiske stien, signaturen og produktidentiteten.

## Relatert

Disse enhetene er koblet til denne artikkelen. Type vises på hver kobling.

[Windows PowerShell: Program](https://feex.it/wiki/l/nb/software/windows-powershell/)[cmd.exe: Programprosess](https://feex.it/wiki/l/nb/process/cmd.exe/)[conhost.exe: Windows-prosess](https://feex.it/wiki/l/nb/process/conhost.exe/)[Sjekk en kjørebar sti og digital signatur: Veiledning](https://feex.it/wiki/l/nb/software/system/verify-executable-path-signature/)[Les Oppgavebehandling og sammenlign prosessaktivitet: Veiledning](https://feex.it/wiki/l/nb/software/system/how-to-read-task-manager/)[Applikasjonsprosesser: Kategori](https://feex.it/wiki/process/application/)

## Kilder og verifisering

Registrert kildeetikett: August 2026. Denne etiketten etablerer ikke uavhengig verifisering. [Hvordan vi gjør undersøkelser](https://feex.it/wiki/research/).

- [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell og pwsh
- [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· Vert for konsollvindu
- [Foxhole-prosesskart ](https://foxhole.feex.it/)· Førsteparts eksempler på Windows-PC-er. Ikke en laboratorieytelsestest.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Forklarer hvordan du inspiserer filsignaturer. Denne referansen fastslår ikke identiteten eller sikkerheten til en bestemt kjørende fil.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Skrivebeskyttet lokal prosess-spørringsmetode.
- [Microsoft: Win32_Process properties ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Dokumenterer prosess-ID-er, kjørbare stier, opprettelsesdatoer og gjenbruk av foreldre-ID.

## Var denne artikkelen nyttig?

Et ja eller nei holder. Velg en grunn hvis du vil, eller legg til en kort kommentar.

Kjappe fakta

Den korte identiteten til denne siden. Spesifikasjoner, kilder og hele historien forblir i artikkelen.

- **Type**: Programprosess

  **Utgiver**: Microsoft Corporation

  **Kjørbar fil**: powershell.exe

  **Overordnet app**: [Windows PowerShell](https://feex.it/wiki/l/nb/software/windows-powershell/)

  **Registrer kontekst**: Feex Wiki referanseoppføring

Registrert kildestatus: Vurdert av Feex: Registrert kildeetikett: August 2026. Denne etiketten etablerer ikke uavhengig verifisering.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/nb/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)