1. [Wiki](https://feex.it/wiki/)
2. [處理程序](https://feex.it/wiki/process/)
3. [應用程式處理序](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

應用程式處理程序: Microsoft Corporation

目錄搜尋詞 powershell, windows powershell

Windows, 應用程式

Windows PowerShell 5.1。pwsh.exe 是 PowerShell 7。兩者可以同時存在。主控台視窗通常是 conhost.exe。

## 您需要瞭解的資訊

這是 Windows PowerShell 5.1。命令列上的指令碼才是風險所在，而非主機名稱。

powershell.exe 是 Windows PowerShell。pwsh.exe 是較新的 PowerShell。conhost.exe 繪製視窗。Word 巨集產生的隱藏 powershell.exe 是命令列層級的問題。

- **是否安全？**: 請檢查正在執行的檔案路徑、簽章與發行者。單憑名稱無法確定安全性。

  **與 pwsh 相同嗎？**: 否。pwsh 是 PowerShell 7

  **為什麼 conhost 會在那裡？**: 那是主控台視窗

Feex 指出

我絕不會僅因為 powershell.exe 正在執行就稱其為惡意軟體。我會檢視命令列。由簽署的主機啟動 Temp 指令碼才是問題所在。

## 什麼是 powershell.exe？

powershell.exe 是隨附於 Windows 的 Windows PowerShell 5.1。它不是 pwsh.exe，後者是您從 Microsoft 安裝的 PowerShell 7。

## 它的作用是什麼？

它執行指令碼和 Cmdlet。執行原則可以封鎖未簽署的本機指令碼。若您並未輸入該命令，命令列上的 bypass 參數就是一項警訊。

## 為什麼它正在執行？

您開啟了提示字元、排程工作或安裝程式啟動了指令碼。無檔案惡意軟體也會使用此主機。路徑加上命令列決定了實際情況。

## 檢查執行中的處理序

在 Windows PowerShell 中，此唯讀查詢會列出此 PC 上符合條件的處理序 ID、建立時間和可執行檔路徑。

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

無結果或無法存取的路徑是無法確定的。受保護的處理序可能會限制存取，處理序 ID 也可能被重複使用。請將個人路徑保留在本地。

使用 [檔案識別指南](https://feex.it/wiki/l/zh-hant/software/system/verify-executable-path-signature/) 來比較簽章和產品中繼資料。僅憑檔案名稱無法確定安全性。

## 它是否安全？

主機是合法的。指令碼才是問題所在

System32 或 SysWOW64 powershell.exe 是 Windows 主機。安全性取決於父處理程序以及 -Command / -EncodedCommand 命令列。僅憑檔名判斷在此行不通。

將記錄的位置與實際檔案進行比較。熟悉的資料夾本身無法確定識別。

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 是 pwsh.exe
- 32 位元主機位於 SysWOW64 下
- 請務必檢視引數

## 我可以結束它嗎？

停止該指令碼

結束 powershell.exe 會終止該工作階段。如果有工作重新啟動它，請找出該工作。結束 conhost.exe 只會關閉視窗。

## 我可以移除它嗎？

不應該

請勿刪除 powershell.exe。如果是受控管的電腦，請透過原則限制指令碼執行。Windows 維護需要此主機。

## 它應該隨 Windows 啟動嗎？

具有隱藏視窗的開機啟動 PowerShell 是一種持續性檢查。您自行建立的互動式捷徑則無妨。

## 測量資源使用量

| CPU 和記憶體 | 比較相同 PID 和工作負載的幾項觀察結果。此項目沒有獨立測量的通用基準。    |
| -------- | ---------------------------------------- |
| 磁碟和網路    | 將活動歸因於實際的處理序和目前的任務；僅憑檔案名稱無法確定預期的目的地或傳輸量。 |

## 檔案資訊

| 可執行檔名稱  | powershell.exe                                            |
| ------- | --------------------------------------------------------- |
| 記錄的安裝路徑 | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe |
| 發行者     | Microsoft Corporation                                     |
| 簽章檢查    | 檢查實際檔案；此項目不證明其憑證識別。                                       |

## 常見問題

### 登入時的 EncodedCommand

複製該命令列並在安全的編輯器中解碼。那才是承載，而不是「PowerShell 是病毒」。

### 與 cmd 混淆

批次檔是 cmd.exe。PowerShell 設定檔是不同的啟動檔案。

## 疑難排解

在進行任何具破壞性的變更之前，請先進行診斷。

### 檢查父 PID

winword 啟動 powershell 是 Office 巨集相關問題。您點擊捷徑後由 explorer 啟動它則是正常操作。

### 請勿為了停止單一指令碼而停用 PowerShell

移除該工作或文件。主機只是一個工具。

## 技術詳細資訊

技術詳細資訊

| 映像名稱 | powershell.exe          |
| ---- | ----------------------- |
| 同級   | pwsh.exe (PowerShell 7) |

## 檢查執行中檔案的身分

僅憑檔案名稱無法確定安全性。請驗證實際路徑、簽章和產品識別。

## 相關項目

這些實體與本文連結。每個連結上都會顯示類型。

[Windows PowerShell: 應用程式](https://feex.it/wiki/l/zh-hant/software/windows-powershell/)[cmd.exe: 應用程式處理程序](https://feex.it/wiki/l/zh-hant/process/cmd.exe/)[conhost.exe: Windows 處理程序](https://feex.it/wiki/l/zh-hant/process/conhost.exe/)[檢查可執行檔路徑和數位簽章: 指南](https://feex.it/wiki/l/zh-hant/software/system/verify-executable-path-signature/)[閱讀工作管理員並比較處理序活動: 指南](https://feex.it/wiki/l/zh-hant/software/system/how-to-read-task-manager/)[應用程式處理序: 類別](https://feex.it/wiki/process/application/)

## 來源與驗證

記錄的來源標籤：2026年8月。此標籤不代表獨立驗證。 [我們的研究方式](https://feex.it/wiki/research/).

- [Microsoft Learn：PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell 與 pwsh
- [Microsoft Learn：conhost ](https://learn.microsoft.com/windows/console/console-host)· 主控台視窗主機
- [Foxhole 處理程序圖譜 ](https://foxhole.feex.it/)· 來自 Windows 電腦的第一手樣本。非實驗室基準測試。
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· 說明如何檢查檔案簽章。此參考資料並不代表特定執行中檔案的身分或安全性。
- [Microsoft：Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· 唯讀的本機處理序查詢方法。
- [Microsoft：Win32_Process 屬性 ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· 記錄處理序 ID、可執行檔路徑、建立日期和父處理序 ID 重複使用。

## 這篇文章實用嗎？

只要回答「是」或「否」即可。您也可以依意願選擇原因，或附上簡短說明。

速覽

本頁面的簡短身分識別。規格、來源和完整說明保留在文章中。

- **類型**: 應用程式處理程序

  **發行者**: Microsoft Corporation

  **可執行檔**: powershell.exe

  **父應用程式**: [Windows PowerShell](https://feex.it/wiki/l/zh-hant/software/windows-powershell/)

  **記錄內容**: Feex Wiki 參考項目

記錄的來源狀態：Feex 已審核: 記錄的來源標籤：2026年8月。此標籤不代表獨立驗證。

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/zh-hant/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)