Hoppa till innehåll

powershell.exe

ProgramprocessMicrosoft Corporation

Katalogsöktermer powershell, windows powershell

WindowsProgram

Windows PowerShell 5.1. pwsh.exe är PowerShell 7. Båda kan finnas. Konsolfönstret är ofta conhost.exe.

Vad du behöver veta

Detta är Windows PowerShell 5.1. Skriptet på kommandoraden är risken, inte värdnamnet.

powershell.exe är Windows PowerShell. pwsh.exe är det nyare PowerShell. conhost.exe ritar fönstret. En dold powershell.exe från ett Word-makro är en kommandoradshistoria.

Säker?
Kontrollera den körande filens sökväg, signatur och utgivare. Namnet i sig kan inte fastställa säkerheten.
Samma som pwsh?
Nej. pwsh är PowerShell 7
Varför finns conhost där?
Det är konsolfönstret
Feex säger
Jag kallar aldrig powershell.exe för skadlig kod bara för att den körs. Jag läser kommandoraden. En signerad värd som startar ett Temp-skript är problemet.

Vad är powershell.exe?

powershell.exe är Windows PowerShell 5.1, som levereras med Windows. Det är inte pwsh.exe, som du installerar som PowerShell 7 från Microsoft.

Vad gör den?

Den kör skript och cmdlets. Körningsprincipen kan blockera osignerade lokala skript. En förbi-koppling på kommandoraden är en varningsflagga om du inte skrev den själv.

Varför körs den?

Du öppnade en kommandotolk, ett schemalagt aktivitet eller ett installationsprogram startade ett skript. Fillös skadlig kod använder också denna värd. Sökväg plus kommandorad avgör historien.

Inspektera den körande instansen

I Windows PowerShell listar denna skrivskyddade fråga matchande process-ID, skapelsetider och körbara sökvägar på denna dator.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Inget resultat eller en otillgänglig sökväg är otillfredsställande. Skyddade processer kan begränsa åtkomst, och process-ID kan återanvändas. Behåll personliga sökvägar lokalt.

Använd filidentitetsguiden för att jämföra signaturer och produktmetadata. Ett filnamn ensamt kan inte fastställa säkerhet.

Är den säker?

Värden är legitim. Skriptet är frågan

System32 eller SysWOW64 powershell.exe är Windows-värden. Säkerheten handlar om överordnad process och raden -Command / -EncodedCommand. Domar baserade enbart på filnamn misslyckas här.

Jämför den registrerade platsen med den faktiska filen. En bekant mapp ensam fastställer inte identitet.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • PowerShell 7 är pwsh.exe
  • 32-bitarsvärden ligger under SysWOW64
  • Läs alltid argumenten

Kan jag avsluta den?

Stoppar det skriptet

Att avsluta powershell.exe dödar den sessionen. Om en aktivitet startar om den, leta upp aktiviteten. Att avsluta conhost.exe stänger bara fönstret.

Kan jag ta bort den?

Nej

Ta inte bort powershell.exe. Begränsa skriptexekvering med principer om detta är en låst dator. Windows-underhåll förväntar sig värden.

Bör den starta med Windows?

En PowerShell vid start med ett dolt fönster är en persistenskontroll. En interaktiv genväg du skapat är helt i sin ordning.

Mät resursanvändning

Mät den aktuella processen snarare än att anta en universell baslinje
CPU och minne Jämför flera observationer för samma PID och arbetsbelastning. Denna post har ingen oberoende mätt universell baslinje.
Disk och nätverk Tillskriv aktivitet till den faktiska processen och den aktuella uppgiften; ett filnamn ensamt fastställer inte förväntade destinationer eller överföringsvolym.

Filinformation

Filinformation för powershell.exe
Körbart namn powershell.exe
Registrerad installationssökväg C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Utgivare Microsoft Corporation
Signaturkontroll Inspektera den faktiska filen; denna post certifierar inte dess certifikatidentitet.

Vanliga problem

EncodedCommand vid inloggning

Kopiera raden och avkoda den i en säker textredigerare. Det är nyttolasten, inte "PowerShell är ett virus".

Förväxlas med cmd

Batchfiler är cmd.exe. PowerShell-profiler är en annan startfil.

Felsökning

Diagnostisera innan du ändrar något destruktivt.

Inspektera överordnad PID

winword som startar powershell handlar om ett Office-makro. explorer som startar den efter att du klickade på en genväg är du själv.

Inaktivera inte PowerShell för att stoppa ett enda skript

Ta bort aktiviteten eller dokumentet. Värden är ett verktyg.

Tekniska detaljer

Tekniska detaljer
Teknisk information om powershell.exe
Avbildningsnamn powershell.exe
Syskon pwsh.exe (PowerShell 7)

Verifiera identiteten för en aktiv fil

Ett filnamn ensamt kan inte fastställa säkerhet. Verifiera den faktiska sökvägen, signaturen och produktidentiteten.

Källor och verifiering

Registrerad källetikett: augusti 2026. Denna etikett fastställer inte oberoende verifiering. Hur vi efterforskar.

Var denna artikel användbar?

Ett ja eller nej räcker. Välj en anledning om du vill, eller lägg till en kort anteckning.

Var denna artikel användbar?