* 蠕虫/特洛伊类
这是目前最常见的病毒了，这类病毒一般不感染其它的正常可执行文件，它会像正常的软件一样"安装"在系统中，只不过"安装"过程是秘密的。它们一般会更改系统配置文件及注册表：
一、更改系统的相关配置文件。 这种情况主要是针对95/98/me系统。
病毒可能会更改autoexec.bat，只要在其中加入执行病毒程序文件的语句即可在系统启动时自动激活病毒。
更改drive:\windows\win.ini或者system.ini文件。病毒通常会在win.ini的"run="后面加入病毒自身的文件名，或者在system.ini文件中将"shell="更改。
二、更改注册表健值。
目前，只要新出的蠕虫/特洛伊类病毒一般都有修改系统注册表的动作。它们修改的位置一般有以下几个地方：
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\
说明：在系统启动时自动执行的程序
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\
说明：在系统启动时自动执行的系统服务程序
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
说明：在系统启动时自动执行的程序，这是病毒最有可能修改/添加的地方。
例如：Win32.Swen.B病毒将增加：HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ucfzyojza="cxsgrhcl.exe autorun"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell\
说明：这里的缺省值是 Explorer.exe ，有的病毒会在Explorer.exe 后面增加 xxxx.exe的病毒文件。
HKEY_CLASSES_ROOT\exefile\shell\open\command
说明：此键值能使病毒在用户运行任何EXE程序时被运行，以此类推，..\txtfile\.. 或者 ..\comfile\.. 也可被更改，以便实现病毒自动运行的功能。
另外，有些健值还可能被利用来实现比较特别的功能：
*有些病毒会通过修改下面的键值来阻止用户查看和修改注册表：
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\
System\DisableRegistryTools =
* 感染文件的病毒（文件型）
此类病毒现在已经不是很常见了（在dos/Win3x时代是最常见的，进入win9x之后最有名的是CIH）。此类病毒最明显的特征是将自身代码加入到正常文件中，因此一般情况下（也有特例，使用压缩功能将代码放置于文件的冗余处使得文件长度不变）受感染的文件字节长度会增加。
简单的判断方法是与正常的系统文件进行比较，字节增加的就是可疑文件。如果不放心可使用系统自带的比较命令"fc.exe"进行比较：
例如：将可疑的notepad.exe文件改名为notepad-vir.exe，再将此文件与正常的notepad.exe文件放在同一个目录中，执行：fc notepad-vir.exe notepad.exe 如果不同，则会提示两个文件的不同代码位置。
* js脚本类
此类病毒很多利用ie漏洞进行传播，一般都是.js、.htt、.as等类型文件。比如redlof更改系统的folder.htt文件。这类病毒有的会更改本地的网页文件（asp,htm,php等），一般会在正常文件后部增加javascript的脚本代码。
* 宏病毒类
此类病毒取样本更简单些，可直接将word、excel、powerpoint的模版文件(Word 为 Normal.dot、Excel 位于 xlStart 目录下所有文件)。拷贝下来即可。
在病毒已经激活的情况下，比较常见的病毒都可通过以上方法找到其样本文件。另外，对于通过邮件传播的病毒也可查找outlook的收件夹。包含附件是：.exe，.scr，.pif的特殊邮件很有可能是病毒邮件。 |