Welches Programm ruft die Powershell auf

[v2afrank]

Unsere EDV hat seit ca 1 Monat den Start der Powershell über Kapersky verboten. Jetzt ist es bei mir und einem Arbeitskollegen so dass alle 25 Minuten irgend ein Programm versucht die Powershell zu öffnen. Wir haben schon geschaut was wir denn gemeinsam haben, konnten aber so nichts finden.
Jetzt denke ich es bigt vielleicht ein Programm welches zum Beispiel die powershell.exe überwacht und feststellt wer das aufruft. Gibt es so etwas oder habt Ihr eine andere Idee ?

[Aviator]

Du könntest evtl. mal versuchen den ProcessMonitor mitlaufen zu lassen und dann entsprechend nach powershell.exe zu filtern wenn das "Problem" wieder aufgetreten ist.

[v2afrank]

Versuch ist es wert.Ich lass es mal laufen. Danke

[v2afrank]

So, ich hatte jetzt gerade den Fall. Im Anhang ist es zu sehen. Aber was muss ich jetzt weiterhin machen ? Naiv wie ich bin bin ich auf den ersten Eintrag gegangen und habe mir den Stack angesehen. Da kann ich nichts raus erkennen.

[Delphi.Narium]

Mal im Taskplaner nachgeschaut?

Im ProcessExplorer kann man sich (ähnlich zum Taskmanager) alle laufenden Prozesse anzeigen lassen.

Die Anzeige der laufenden Prozesse ist in einer Baumansicht möglich und in der kann man sehen, welcher Prozess von welchem anderen Prozess gestartet wurde.

Wenn Du weißt, dass die PowerShell alle 25 Minuten gestartet werden soll, kannst Du im ProzessExplorer ja mal die passende Zeit abwarten und schauen, ob Du da was sehen kannst.

Dort The Spirit of Delphi / Process list findest Du eine Klasse, die Prozesse auflisten kann, u. a. kann sie auch die ProzessID des Aufrufers ermitteln.

Eventuell kannst Du Dir ja daraus (mit wenig Aufwand?) ein Programm bauen, dass jede Sekunde (oder so) mal die Prozessliste erstellt, nach der PowerShell sucht und dann die ProzessID des Aufrufers ausgibt. Eigentlich müsstest Du dann mit der so gefundenen ProzessID in der Liste direkt nach dem Aufrufer suchen können und Dir dann diesen ausgeben lassen.

Was fertiges, das einfach nach der PowerShell sucht und dann den Aufrufer ausgibt, hab' ich nicht finden können (was nicht heißt, dass es das nicht soch schon irgendwo gibt).

[v2afrank]

IM Taskplaner habe ich nachgeschaut. Da steht nichts drin. Allerdings ist jetzt seit ca. 90 Minuten Ruhe. Heute ist mir zu warm, morgen frag ich noch mal bei der EDV nach ob die was gefunden haben.
In Processmonitor gibt es ein Parent PID. Nach der wollte ich mal suchen wenn der Fall beim nächsten mal auftritt.
Erst einmal vielen Dank für die Tipps

[IBExpert]

Zitat von v2afrank:

So, ich hatte jetzt gerade den Fall. Im Anhang ist es zu sehen. Aber was muss ich jetzt weiterhin machen ? Naiv wie ich bin bin ich auf den ersten Eintrag gegangen und habe mir den Stack angesehen. Da kann ich nichts raus erkennen.

im processmonitor nicht den processnamen powershell.exe nehmen, sondern den filter auf path containing powershell setzen, dann sollte das aufrufende programm auch mit drin sein

[v2afrank]

Zitat von IBExpert:

Zitat von v2afrank:

So, ich hatte jetzt gerade den Fall. Im Anhang ist es zu sehen. Aber was muss ich jetzt weiterhin machen ? Naiv wie ich bin bin ich auf den ersten Eintrag gegangen und habe mir den Stack angesehen. Da kann ich nichts raus erkennen.

im processmonitor nicht den processnamen powershell.exe nehmen, sondern den filter auf path containing powershell setzen, dann sollte das aufrufende programm auch mit drin sein

Hab ich gemacht. Das sieht sehr interessant aus. Ich sehe zum Beispiel Visual Studio ruft die bei mir auf. Mal schauen was da kommt. Danke

[Delphi.Narium]

Ist da was "verdächtiges" bei visual studio powershell, das Dir die Suche erleichtert?

[Andreas13]

Zitat von Aviator:

Du könntest evtl. mal versuchen den ProcessMonitor mitlaufen zu lassen und dann entsprechend nach powershell.exe zu filtern wenn das "Problem" wieder aufgetreten ist.

Gerade das aktuelle Juli-Heft des ct-Magazins enthält einen ausführlichen Artikel über die Benutzung des ProcessMonitors und etliche Tipps dazu.
Gruß, Andreas