powershell.exe

Proces aplikacjiMicrosoft Corporation

Terminy wyszukiwania w katalogu powershell, windows powershell

WindowsAplikacja

Windows PowerShell 5.1. pwsh.exe to PowerShell 7. Oba mogą współistnieć. Oknem konsoli jest często conhost.exe.

Co musisz wiedzieć

To jest Windows PowerShell 5.1. Zagrożenie stanowi skrypt w wierszu poleceń, a nie nazwa hosta.

powershell.exe to Windows PowerShell. pwsh.exe to nowszy PowerShell. conhost.exe rysuje okno. Ukryty proces powershell.exe wywołany z makra programu Word to kwestia wiersza poleceń.

Bezpieczny?: Sprawdź ścieżkę uruchomionego pliku, podpis i wydawcę. Sama nazwa nie gwarantuje bezpieczeństwa.
Czy to to samo co pwsh?: Nie. pwsh to PowerShell 7
Dlaczego conhost się tam znajduje?: To jest okno konsoli

Feex wyjaśnia

Nigdy nie nazywam powershell.exe złośliwym oprogramowaniem tylko dlatego, że jest uruchomiony. Czytam wiersz poleceń. Problemem jest podpisany host uruchamiający skrypt z folderu Temp.

Czym jest powershell.exe?

powershell.exe to Windows PowerShell 5.1, dostarczany z systemem Windows. To nie jest pwsh.exe, instalowany jako PowerShell 7 od firmy Microsoft.

Co robi?

Uruchamia skrypty i polecenia cmdlet. Zasady wykonywania mogą blokować niepodpisane skrypty lokalne. Obejście w wierszu poleceń to sygnał ostrzegawczy, jeśli nie zostało wpisane przez Ciebie.

Dlaczego jest uruchomiony?

Otwarto wiersz polecenia, zaplanowane zadanie lub instalator uruchomił skrypt. Z tego hosta korzysta także złośliwe oprogramowanie bezplikowe. O wszystkim decydują ścieżka oraz wiersz poleceń.

Sprawdź działający proces

W Windows PowerShell to zapytanie tylko do odczytu wyświetla pasujące identyfikatory procesów, czasy utworzenia i ścieżki wykonywalnych plików na tym komputerze.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Brak wyniku lub niedostępna ścieżka jest niejednoznaczna. Chronione procesy mogą ograniczać dostęp, a identyfikatory procesów mogą być ponownie używane. Zachowaj lokalne ścieżki osobiste.

Użyj przewodnika po tożsamości pliku do porównania sygnatur i metadanych produktu. Sam plik nie może ustalić bezpieczeństwa.

Czy jest bezpieczny?

Host jest prawidłowy. Kwestią sporną jest skrypt

powershell.exe w System32 lub SysWOW64 to host systemu Windows. O bezpieczeństwie decydują proces nadrzędny oraz wiersz -Command / -EncodedCommand. Ocenianie wyłącznie po nazwie pliku w tym przypadku zawodzi.

Porównaj zarejestrowaną lokalizację z rzeczywistym plikiem. Znajomy folder sam w sobie nie ustala tożsamości.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

PowerShell 7 to pwsh.exe
Wersja 32-bitowa hosta znajduje się w katalogu SysWOW64
Zawsze sprawdzaj argumenty

Czy mogę go zakończyć?

Zatrzymuje ten skrypt

Zakończenie powershell.exe zamyka tę sesję. Jeśli zadanie uruchomi go ponownie, znajdź to zadanie. Zakończenie conhost.exe zamyka tylko okno.

Czy mogę go usunąć?

Nie

Nie usuwaj powershell.exe. Jeśli komputer jest objęty restrykcjami, ogranicz wykonywanie skryptów za pomocą zasad. Obsługa serwisowa systemu Windows wymaga obecności tego hosta.

Czy powinien uruchamiać się z systemem Windows?

Proces PowerShell w sekcji Autostart z ukrytym oknem to technika utrzymywania obecności. Utworzony przez Ciebie interaktywny skrót jest w porządku.

Zmierz użycie zasobów

Zmierz bieżący proces, zamiast zakładać uniwersalną bazę odniesienia
CPU i pamięć	Porównaj kilka obserwacji dla tego samego PID i obciążenia. Ten wpis nie ma niezależnie zmierzonej uniwersalnej bazy odniesienia.
Dysk i sieć	Przypisz aktywność do rzeczywistego procesu i bieżącego zadania; sam plik nie ustala oczekiwanych miejsc docelowych ani wolumenu transferu.

Informacje o pliku

Informacje o pliku powershell.exe
Nazwa pliku wykonywalnego	powershell.exe
Zarejestrowana ścieżka instalacji	C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Wydawca	Microsoft Corporation
Sprawdzenie podpisu	Sprawdź rzeczywisty plik; ten wpis nie certyfikuje jego tożsamości certyfikatu.

Częste problemy

EncodedCommand podczas logowania

Skopiuj ten wiersz i zdekoduj go w bezpiecznym edytorze. To jest ładunek, a nie stwierdzenie "PowerShell to wirus".

Mylony z cmd

Pliki wsadowe to cmd.exe. Profile PowerShell to inny plik startowy.

Rozwiązywanie problemów

Zdiagnozuj problem, zanim podejmiesz jakiekolwiek nieodwracalne działania.

Sprawdź nadrzędny PID

winword uruchamiający powershell to kwestia makra pakietu Office. explorer uruchamiający go po kliknięciu skrótu to Twoje działanie.

Nie wyłączaj programu PowerShell, aby zatrzymać jeden skrypt

Usuń zadanie lub dokument. Host jest narzędziem.

Szczegóły techniczne

Szczegóły techniczne powershell.exe
Nazwa obrazu	powershell.exe
Element pokrewny	pwsh.exe (PowerShell 7)

Sprawdź tożsamość uruchomionego pliku

Sam plik nie może ustalić bezpieczeństwa. Zweryfikuj rzeczywistą ścieżkę, podpis i tożsamość produktu.

Źródła i weryfikacja

Zarejestrowana etykieta źródła: sierpień 2026. Etykieta ta nie stanowi niezależnej weryfikacji. Jak prowadzimy badania.

Microsoft Learn: PowerShell · Windows PowerShell i pwsh
Microsoft Learn: conhost · Host okna konsoli
Mapa procesów Foxhole · Próbki z pierwszej ręki na komputerach z systemem Windows. Nie jest to benchmark laboratoryjny.
Microsoft Sysinternals: Sigcheck · Wyjaśnia, jak sprawdzać podpisy plików. Ta publikacja nie rozstrzyga o tożsamości ani bezpieczeństwie konkretnego uruchomionego pliku.
Microsoft: Get-CimInstance · Metoda odczytu lokalnego zapytania o proces.
Microsoft: Win32_Process properties · Dokumentuje identyfikatory procesów, ścieżki wykonywalnych plików, daty utworzenia i ponowne użycie identyfikatora rodzica.

Czy ten artykuł był pomocny?

Wystarczy odpowiedź tak lub nie. Wybierz powód, jeśli chcesz, lub dodaj krótką notatkę.