Preskočiť na obsah

powershell.exe

Proces aplikácieMicrosoft Corporation

Kľúčové slová katalógu powershell, windows powershell

WindowsAplikácia

Windows PowerShell 5.1. pwsh.exe je PowerShell 7. Môžu existovať obidva súčasne. Okno konzoly je často conhost.exe.

Čo potrebujete vedieť

Toto je Windows PowerShell 5.1. Rizikom je skript v príkazovom riadku, nie názov hostiteľa.

powershell.exe je Windows PowerShell. pwsh.exe je novší PowerShell. conhost.exe vykresľuje okno. Skrytý powershell.exe z makra Wordu je záležitosťou príkazového riadka.

Bezpečný?
Skontrolujte cestu, podpis a vydavateľa spusteného súboru. Samotný názov nemôže potvrdiť bezpečnosť.
Rovnaké ako pwsh?
Nie. pwsh je PowerShell 7
Prečo je tam conhost?
To je okno konzoly
Feex uvádza
Nikdy neoznačujem powershell.exe za malvér len preto, že beží. Čítam príkazový riadok. Problémom je podpísaný hostiteľ spúšťajúci skript z priečinka Temp.

Čo je powershell.exe?

powershell.exe je Windows PowerShell 5.1, dodávaný so systémom Windows. Nie je to pwsh.exe, ktorý inštalujete ako PowerShell 7 od spoločnosti Microsoft.

Čo robí?

Spúšťa skripty a rutiny typu cmdlet. Zásady spúšťania môžu blokovať nepodpísané lokálne skripty. Parameter bypass v príkazovom riadku je varovným signálom, ak ste ho nezadali vy.

Prečo beží?

Otvorili ste príkazový riadok, naplánovanú úlohu, alebo inštalátor spustil skript. Tento hostiteľ využíva aj bezsúborový malvér. Podstatu situácie určuje cesta spolu s príkazovým riadkom.

Skontrolujte bežiaci proces

V systéme Windows PowerShell tento dotaz iba na čítanie zobrazuje zodpovedajúce ID procesov, časy vytvorenia a cesty k spustiteľným súborom na tomto PC.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Žiadny výsledok alebo neprístupná cesta je nepresvedčivá. Chránené procesy môžu obmedziť prístup a ID procesov sa môžu znovu použiť. Uchovávajte osobné cesty lokálne.

Použite sprievodcu identifikáciou súboru na porovnanie podpisov a metadát produktu. Samotný názov súboru nemôže preukázať bezpečnosť.

Je bezpečný?

Hostiteľ je legitímny. Otázkou je skript

powershell.exe v System32 alebo SysWOW64 je hostiteľom systému Windows. Bezpečnosť závisí od nadradeného procesu a príkazového riadka s -Command / -EncodedCommand. Hodnotenia založené iba na názve súboru tu zlyhávajú.

Porovnajte zaznamenanú polohu so skutočným súborom. Známé priečinok sám o sebe nepreukazuje identitu.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • PowerShell 7 je pwsh.exe
  • 32-bitový hostiteľ sídli v priečinku SysWOW64
  • Vždy si prečítajte argumenty

Môžem ho ukončiť?

Zastaví daný skript

Ukončenie powershell.exe ukončí danú reláciu. Ak ho úloha reštartuje, nájdite túto úlohu. Ukončenie conhost.exe iba zavrie okno.

Môžem ho odstrániť?

Nie

Neodstraňujte powershell.exe. Ak ide o zabezpečený počítač, obmedzte spúšťanie skriptov pomocou zásad. Servisovanie systému Windows tohto hostiteľa vyžaduje.

Má sa spúšťať so systémom Windows?

PowerShell po spustení so skrytým oknom je indikátorom kontroly perzistencie. Vami vytvorený interaktívny zástupca je v poriadku.

Meranie využitia zdrojov

Merajte aktuálny proces namiesto predpokladania univerzálnej základnej línie
CPU a pamäť Porovnajte niekoľko pozorovaní pre rovnaké PID a pracovné zaťaženie. Tento záznam nemá nezávisle meranú univerzálnu základnú líniu.
Disk a sieť Priraďte aktivitu k skutočnému procesu a aktuálnej úlohe; názov súboru sám o sebe nepreukazuje očakávané ciele alebo objem prenosu.

Informácie o súbore

Informácie o súbore powershell.exe
Názov spustiteľného súboru powershell.exe
Zaznamenaná cesta inštalácie C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Vydavateľ Microsoft Corporation
Kontrola podpisu Skontrolujte skutočný súbor; tento záznam necertifikuje identitu jeho certifikátu.

Časté problémy

EncodedCommand pri prihlásení

Skopírujte riadok a dekódujte ho v bezpečnom editore. To je skutočná záťaž, nie tvrdenie, že "PowerShell je vírus".

Mýli sa s cmd

Dávkové súbory patria pod cmd.exe. Profily PowerShellu sú iný typ štartovacieho súboru.

Riešenie problémov

Pred akoukoľvek deštruktívnou zmenou vykonajte diagnostiku.

Skontrolujte PID nadradeného procesu

winword spúšťajúci powershell je záležitosťou makier v Office. explorer spúšťajúci tento proces po kliknutí na zástupcu ste vy.

Nezakazujte PowerShell kvôli zastaveniu jedného skriptu

Odstráňte úlohu alebo dokument. Hostiteľ je nástroj.

Technické podrobnosti

Technické podrobnosti
Technické podrobnosti powershell.exe
Názov obrazu powershell.exe
Súvisiaci proces pwsh.exe (PowerShell 7)

Overte identitu spusteného súboru

Samotný názov súboru nemôže preukázať bezpečnosť. Overte skutočnú cestu, podpis a identitu produktu.

Zdroje a overenie

Zaznamenané označenie zdroja: august 2026. Toto označenie nepredstavuje nezávislé overenie. Ako robíme výskum.

Bol tento článok užitočný?

Stačí áno alebo nie. Ak chcete, vyberte dôvod, alebo pridajte krátku poznámku.

Bol tento článok užitočný?