跳至內容

powershell.exe

應用程式處理程序Microsoft Corporation

目錄搜尋詞 powershell, windows powershell

Windows應用程式

Windows PowerShell 5.1。pwsh.exe 是 PowerShell 7。兩者可以同時存在。主控台視窗通常是 conhost.exe。

您需要瞭解的資訊

這是 Windows PowerShell 5.1。命令列上的指令碼才是風險所在，而非主機名稱。

powershell.exe 是 Windows PowerShell。pwsh.exe 是較新的 PowerShell。conhost.exe 繪製視窗。Word 巨集產生的隱藏 powershell.exe 是命令列層級的問題。

是否安全？
請檢查正在執行的檔案路徑、簽章與發行者。單憑名稱無法確定安全性。
與 pwsh 相同嗎？
否。pwsh 是 PowerShell 7
為什麼 conhost 會在那裡？
那是主控台視窗
Feex 指出
我絕不會僅因為 powershell.exe 正在執行就稱其為惡意軟體。我會檢視命令列。由簽署的主機啟動 Temp 指令碼才是問題所在。

什麼是 powershell.exe？

powershell.exe 是隨附於 Windows 的 Windows PowerShell 5.1。它不是 pwsh.exe，後者是您從 Microsoft 安裝的 PowerShell 7。

它的作用是什麼？

它執行指令碼和 Cmdlet。執行原則可以封鎖未簽署的本機指令碼。若您並未輸入該命令，命令列上的 bypass 參數就是一項警訊。

為什麼它正在執行？

您開啟了提示字元、排程工作或安裝程式啟動了指令碼。無檔案惡意軟體也會使用此主機。路徑加上命令列決定了實際情況。

檢查執行中的處理序

在 Windows PowerShell 中，此唯讀查詢會列出此 PC 上符合條件的處理序 ID、建立時間和可執行檔路徑。

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

無結果或無法存取的路徑是無法確定的。受保護的處理序可能會限制存取，處理序 ID 也可能被重複使用。請將個人路徑保留在本地。

使用 檔案識別指南 來比較簽章和產品中繼資料。僅憑檔案名稱無法確定安全性。

它是否安全？

主機是合法的。指令碼才是問題所在

System32 或 SysWOW64 powershell.exe 是 Windows 主機。安全性取決於父處理程序以及 -Command / -EncodedCommand 命令列。僅憑檔名判斷在此行不通。

將記錄的位置與實際檔案進行比較。熟悉的資料夾本身無法確定識別。

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • PowerShell 7 是 pwsh.exe
  • 32 位元主機位於 SysWOW64 下
  • 請務必檢視引數

我可以結束它嗎？

停止該指令碼

結束 powershell.exe 會終止該工作階段。如果有工作重新啟動它，請找出該工作。結束 conhost.exe 只會關閉視窗。

我可以移除它嗎？

不應該

請勿刪除 powershell.exe。如果是受控管的電腦，請透過原則限制指令碼執行。Windows 維護需要此主機。

它應該隨 Windows 啟動嗎？

具有隱藏視窗的開機啟動 PowerShell 是一種持續性檢查。您自行建立的互動式捷徑則無妨。

測量資源使用量

測量目前的處理序，而不是假設通用的基準
CPU 和記憶體 比較相同 PID 和工作負載的幾項觀察結果。此項目沒有獨立測量的通用基準。
磁碟和網路 將活動歸因於實際的處理序和目前的任務；僅憑檔案名稱無法確定預期的目的地或傳輸量。

檔案資訊

powershell.exe 檔案資訊
可執行檔名稱 powershell.exe
記錄的安裝路徑 C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
發行者 Microsoft Corporation
簽章檢查 檢查實際檔案；此項目不證明其憑證識別。

常見問題

登入時的 EncodedCommand

複製該命令列並在安全的編輯器中解碼。那才是承載，而不是「PowerShell 是病毒」。

與 cmd 混淆

批次檔是 cmd.exe。PowerShell 設定檔是不同的啟動檔案。

疑難排解

在進行任何具破壞性的變更之前，請先進行診斷。

檢查父 PID

winword 啟動 powershell 是 Office 巨集相關問題。您點擊捷徑後由 explorer 啟動它則是正常操作。

請勿為了停止單一指令碼而停用 PowerShell

移除該工作或文件。主機只是一個工具。

技術詳細資訊

技術詳細資訊
powershell.exe 技術詳細資料
映像名稱 powershell.exe
同級 pwsh.exe (PowerShell 7)

檢查執行中檔案的身分

僅憑檔案名稱無法確定安全性。請驗證實際路徑、簽章和產品識別。

來源與驗證

記錄的來源標籤：2026年8月。此標籤不代表獨立驗證。 我們的研究方式.

這篇文章實用嗎？

只要回答「是」或「否」即可。您也可以依意願選擇原因，或附上簡短說明。

這篇文章實用嗎？