管理后台的日志数据被导出。经过技术分析，“暗夜伯爵”这个ID在过去半年里，最频繁的登录IP段，指向两个区域：一是北京市海淀区中关村附近的一系列动态IP（属于某大型拨号上网服务提供商），二是上海市杨浦区某大学校园网内的固定IP地址。
“双中心活动？”周宏看着IP分布图，“要么他经常往返于北京上海，要么……他可能有两个常用的上网地点，或者有同伙？”
林知墨沉吟片刻：“从语言风格的高度一致性看，单人作案的可能性依然最大。双IP可能反映了他生活或学习轨迹的变化，或者他利用了两地的资源。比如，他可能是北京某高校或单位的人，但经常去上海；或者反过来。校园网IP非常值得关注，这符合我们关于他可能是学生或与学校关系密切的侧写。”
他指示道：“重点查上海这个校园网IP对应的具体楼宇和机房，以及使用记录。北京的拨号IP范围太广，可以先放一放。同时，查这个ID在BBS上的社交互动，有没有关系特别密切的‘网友’，尤其是可能知道其真实身份或所在地的。”
通过BBS站内消息记录和公开互动帖子排查，发现“暗夜伯爵”与少数几个ID有较深的技术交流，但都停留在网络层面，没有发现线下联系的证据。他表现得非常谨慎，从未透露过任何个人真实信息，包括所在城市都故意模糊处理（有时自称“帝都”，有时又说“魔都”）。
上海的调查很快有了进展。杨浦区那所大学的校园网管理中心记录显示，那个固定IP属于“计算中心第三公共机房”。该机房全天候开放，主要供学生进行编程练习和上网，管理相对宽松，登记制度形同虚设。
“暗夜伯爵”的登录时间极有规律：几乎都在晚上十点以后至凌晨五六点之间，白天很少出现。这正是机房人最少、管理最松懈的时段。
“像夜行动物。”王锐评价。
“也是最适合进行隐秘活动的时间。”林知墨道，“联系学校保卫处和计算中心，我们需要查看那个时间段，第三机房的监控录像——如果他们有的话，以及上机登记表（尽管可能不全）。重点寻找符合侧写的单独行动的男性学生或校外人员。”
1995年的大学机房，监控摄像头还是稀罕物。幸运的是，这所大学的计算中心因为设备贵重，在主要出入口安装了画面模糊的黑白摄像头。录像带只保留一周，但侦查员赶在覆盖前调取了最近一周的。
画面质量很差，人影模糊。但在连续几个深夜的录像中，侦查员都发现了一个相似的身影：一个身材瘦高、戴着眼镜的年轻男性，总是背着一个黑色的双肩电脑包，在晚上十点左右独自进入第三机房，往往选择角落里最不起眼的一台机器，一坐就是通宵，直到凌晨才离开。他很少与旁人交流，全程专注盯着屏幕。
“特征吻合：年轻男性，孤僻，深夜活动，对机房环境熟悉。”周宏对比着侧写。
通过询问那几晚偶尔同在机房的学生，有人隐约记得那个“总是坐在角落里的怪人”，好像姓“韩”，是计算机系的学生，但好像很久没正常上课了，据说留级了。具体名字记不清。
“计算机系，留级生……”林知墨眼神锐利，“立刻查计算机系所有留级、休学或长期旷课的学生名单，重点排查姓氏为‘韩’、性格孤僻、有计算机特长的。”
大学保卫处和计算机系学生工作办公室积极配合。名单很快出来，符合条件的只有一个：韩啸，男，22岁，计算机系94级学生（本应95年毕业），因多门专业课不及格且长期旷课，已于上半年被通知留级。该生入学时成绩优异，尤其在编程和网络方面表现出过人天赋，但性格极其内向孤僻，与同学几乎无交流，与父亲（本校某理工科教授）关系紧张，在校外独自租房居住，行踪不定。上学期末至今，极少出现在课堂和集体活动中。
“韩啸……”林知墨念着这个名字，侧写中的形象与现实信息迅速重叠：技术天才，现实社交失败，学业受挫，家庭关系紧张，有充足的自由时间和动机，居住在网络发达的大城市，符合“暗夜伯爵”的活跃区域和活动时间……
“立刻对其校外租住屋进行秘密摸排，确认其是否在家，以及屋内是否有电脑等设备。同时，设法在不惊动他的情况下，获取其照片，与机房监控录像进行比对。”林知墨下达指令，“通知上海方面，准备合适的警力，一旦确认，立即控制。注意，他可能对电脑数据非常敏感，行动时要第一时间控制其电脑设备，防止其销毁证据。”
上海的侦查员效率很高。当天下午，韩啸租住屋（学校附近的老式里弄房）外的监视点确认，韩啸于下午返回住处，一直未出。便衣民警伪装成居委