跳转至正文

powershell.exe

应用程序进程Microsoft Corporation

powershell, Windows PowerShell 目录搜索词

Windows应用程序

Windows PowerShell 5.1。pwsh.exe 是 PowerShell 7。两者可以同时存在。控制台窗口通常是 conhost.exe。

您需要了解的内容

这是 Windows PowerShell 5.1。命令行上的脚本才是风险所在，而不是宿主名称。

powershell.exe 是 Windows PowerShell。pwsh.exe 是较新的 PowerShell。conhost.exe 绘制窗口。由 Word 宏调用的隐藏 powershell.exe 属于命令行层面的问题。

安全吗？
请检查正在运行的文件的路径、签名和发布者。仅凭名称无法确定安全性。
与 pwsh 相同吗？
不同。pwsh 是 PowerShell 7
为什么会有 conhost？
那是控制台窗口
Feex 表示
我绝不会仅因为 powershell.exe 在运行就称其为恶意软件。我会查看命令行。由签名宿主启动 Temp 脚本才是问题所在。

什么是 powershell.exe？

powershell.exe 是 Windows 自带的 Windows PowerShell 5.1。它不是 pwsh.exe，后者是您从 Microsoft 安装的 PowerShell 7。

它的作用是什么？

它运行脚本和 cmdlet。执行策略可以阻止未签名的本地脚本。如果您未曾输入过，命令行中的 bypass 参数就是一个危险信号。

为什么它在运行？

您打开了提示符、计划任务或安装程序启动了脚本。无文件恶意软件也会使用此宿主。路径加上命令行决定了具体情况。

检查正在运行的实例

在 Windows PowerShell 中，此只读查询会列出此 PC 上匹配的进程 ID、创建时间和可执行文件路径。

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

无结果或路径不可访问是不可判断的。受保护的进程可能会限制访问，并且进程 ID 会被重用。请将个人路径保留在本地。

使用 文件身份指南 来比较签名和产品元数据。仅文件名无法确定安全性。

它安全吗？

宿主合法。脚本才是疑问所在

System32 或 SysWOW64 下的 powershell.exe 是 Windows 宿主。安全性取决于父进程以及 -Command / -EncodedCommand 命令行。仅凭文件名下结论在这里行不通。

将记录的位置与实际文件进行比较。熟悉的文件夹本身并不能确定身份。

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • PowerShell 7 是 pwsh.exe
  • 32 位宿主位于 SysWOW64 下
  • 始终阅读参数

我可以结束它吗？

停止该脚本

结束 powershell.exe 会终止该会话。如果任务重新启动了它，请找到该任务。结束 conhost.exe 只会关闭窗口。

我可以删除它吗？

不应该

请勿删除 powershell.exe。如果是受严格管控的电脑，请通过策略限制脚本执行。Windows 维护更新需要该宿主。

它应该随 Windows 一起启动吗？

带有隐藏窗口的自启动 PowerShell 是一种持久化检查项。您创建的交互式快捷方式则没有问题。

测量资源使用情况

测量当前进程，而不是假设一个通用的基线
CPU 和内存 比较同一 PID 和工作负载的几次观察结果。此条目没有独立测量的通用基线。
磁盘和网络 将活动归因于实际进程和当前任务；仅文件名本身并不能确定预期的目标或传输量。

文件信息

powershell.exe 文件信息
可执行文件名称 powershell.exe
记录的安装路径 C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
发布者 Microsoft Corporation
签名检查 检查实际文件；此条目不保证其证书身份。

常见问题

登录时的 EncodedCommand

复制该命令行并在安全的编辑器中对其进行解码。那才是有效负载，而不是“PowerShell 是病毒”。

与 cmd 混淆

批处理文件属于 cmd.exe。PowerShell 配置文件是不同的启动文件。

故障排除

在进行任何破坏性更改之前先进行诊断。

检查父 PID

winword 启动 powershell 属于 Office 宏问题。您点击快捷方式后由 explorer 启动则属于您自己的操作。

请勿为了阻止一个脚本而禁用 PowerShell

删除任务或文档即可。宿主只是一种工具。

技术细节

技术细节
powershell.exe 技术细节
映像名称 powershell.exe
同胞进程 pwsh.exe (PowerShell 7)

检查运行中文件的身份标识

仅文件名无法确定安全性。请验证实际路径、签名和产品身份。

来源与验证

记录的来源标签：August 2026。此标签并不代表已完成独立验证。 我们的研究方式.

这篇文章有用吗？

回答"是"或"否"即可。如果您愿意，可以选择一个原因，或添加一段简短附言。

这篇文章有用吗？