晚上九点，案子进入了最后的收网阶段。
三块硬盘的数据全部恢复完毕，涉案的六名成员中五个人已经到案，只剩下壳先生本人还没有归案。
但根据我在数据中发现的最后一条登录记录——他在六小时前从高新区科技园的机房远程登录过一次服务器，试图启动销毁程序。
他发现服务器已经断电了。
然后他再也没有上线。
这意味着他知道事发了，正在跑。
但他跑不掉。
因为我在他最后一次登录的数据包里，找到了一个他绝对没想到会暴露的东西——他连接VPN时的原始握手包。
VPN可以隐藏你的真实IP，但握手包里有一个叫做「MTU」的参数。不同的网络环境有不同的MTU值，而这个值可以缩小他所在网络的范围。
他的MTU值是1420。
这是一个非常特殊的数值。标准的以太网MTU是1500，4G网络是1440，而1420——通常出现在特定运营商的移动热点连接上。
结合他登录时的时间和信号强度衰减特征，我推算出他当时使用的是一个便携式4G路由器，而这种路由器的信号覆盖范围有限。
我把这些分析结果给了沈清禾。
她带着技术科的人，用了不到两个小时，通过运营商的基站数据锁定了壳先生最后出现的位置——市郊的一家快捷酒店。
晚上八点四十分，壳先生在酒店房间里被抓获。
据小周后来跟我描述的画面——
壳先生被抓的时候正坐在床上，面前摆着一台笔记本电脑，屏幕上是一张单程机票的购买页面。
目的地：柬埔寨。
航班起飞时间：明天早上六点。
他差一个晚上就跑掉了。
小周说沈清禾走进酒店房间的时候，壳先生抬头看了她一眼，然后问了一句很奇怪的话。
「你们是怎么找到我的？我用了VPN。」
沈清禾没有回答他，只是让人把他带走了。
但小周说他看到沈清禾走出酒店大门的时候，在台阶上站了一会儿，拿出手机看了一眼。
屏幕上是一条微信对话框。
最上面一条消息是我发的：「搞定了没？」
她回了三个字：「搞定了。」
然后她发了第二条消息：「回去吃烧烤。」
晚上十点，我终于走出了市局的大门。
算一算，从昨天凌晨一点四十三分到现在，我在这栋楼里待了整整二十个小时。
夜
本章未完，请点击下一页继续阅读！