了勒索病毒如何查原因？怎么預(yù)防？

1. 這臺服務(wù)器前幾天中了勒索病毒，所有文件被加密無法打開，桌面和 D 盤所有文件都如此，被加密后后綴名都改成統(tǒng)一格式。

2. 被加密文件不是打開要密碼，而是無法正常打開，服務(wù)器會有提醒說文件被加密需聯(lián)系它們解密。

3. 查找中毒原因，這臺服務(wù)器沒開通外網(wǎng)只開通內(nèi)網(wǎng)且平時不安裝軟件，可能是內(nèi)網(wǎng)其他電腦攻擊，查找方法如下：

- 在這里搜索事件，然后點擊查看事件日志。

- 打開事件查看器后點擊應(yīng)用程序和服務(wù)日志，點擊加號展開 Microsoft。

- 再展開 windows，找到遠(yuǎn)程登錄日志并展開。

- 點擊下面的，里面是所有遠(yuǎn)程登錄日志，日志太多進(jìn)行篩選。

- 點右鍵，點擊篩選當(dāng)前日志。

- 在事件 ID 輸入 1149，是被登錄日志。

- 篩選日志，可看到遠(yuǎn)程登錄的用戶名、電腦名稱和 IP 地址。

4. 因這臺電腦 8 月 11 號中毒，只能看到 8 月 12 號日志，但之前有保留，查看保留日志發(fā)現(xiàn) 8 月 11 號凌晨 1：56 分 20 秒，一 IP 地址用管理員賬號登錄，凌晨肯定沒人用。

5. 所以這臺電腦中勒索病毒真正原因是這臺 IP 地址的局域網(wǎng)電腦晚上沒關(guān)機(jī)又能上網(wǎng)，中毒后攻擊局域網(wǎng)內(nèi)服務(wù)器致多臺中毒，找到源頭就好辦，可重新格式化和裝系統(tǒng)，局域網(wǎng)內(nèi)有服務(wù)器或電腦中勒索病毒一定要找到源頭，否則重裝系統(tǒng)后可能又會中。

6. 服務(wù)器密碼會被遠(yuǎn)程登錄是因是測試服務(wù)器不重要設(shè)簡單密碼，易被爆破登錄，三臺服務(wù)器中勒索病毒，兩臺沒裝殺毒軟件，一臺裝了也被破解。

7. 預(yù)防勒索病毒建議：

- 一定要設(shè)復(fù)雜密碼，簡單密碼易被遠(yuǎn)程爆破登錄。

- 不需要遠(yuǎn)程桌面就關(guān)掉，必須用就改默認(rèn) 3389 端口，因殺毒軟件攻擊日志顯示全是默認(rèn)端口，有些服務(wù)器改其他端口沒被攻擊到。

- 不要裸奔，一定要裝殺毒軟件，局域網(wǎng)內(nèi)電腦都要裝。

- 夜間不用電腦一定要關(guān)機(jī)，木馬病毒晚上運行，關(guān)機(jī)就不會攻擊服務(wù)器，小公司很多員工下班不關(guān)電腦，做到這些可大大降低中毒風(fēng)險。

- 重點是備份，這臺服務(wù)器有備份，半小時可恢復(fù)正常使用，個人電腦可用云盤備份，服務(wù)器可用納斯備份或?qū)ｉT備份主機(jī)備份。

8. 網(wǎng)上解密網(wǎng)站沒成功解密，網(wǎng)上有很多解密工具，如：https//w. bepingcomputer.com/news/seurty/gomaom-crypt ransomware-decrypted，是針對中毒類型有專用恢復(fù)工具，不是一個工具解所有病毒，此病毒沒找到解密工具。

使現(xiàn)在的系統(tǒng)相比 20 年前已經(jīng)穩(wěn)定了很多了，使用電腦時也難免會遇到藍(lán)屏、意外重啟、甚至是意外關(guān)機(jī)的情況。盡管這種問題可能只是偶然發(fā)生，可以說是不太走運；但更多的時候放著不管，反而會讓電腦的問題出現(xiàn)得越來越頻繁。

所以，這篇文章就旨在幫助大家快速找到讓電腦不能正常工作的罪魁禍?zhǔn)祝m然不一定能「藥到病除」，但也能讓你離正確答案更近一步。

macOS

盡管 macOS 是Apple為Mac產(chǎn)品線定制的操作系統(tǒng)，但實際上出現(xiàn)問題的機(jī)會還是很多的。雖然在macOS中我們可以通過控制臺獲取日志信息，但從macOS Sierra及更高版本開始，考慮到安全和隱私問題，控制臺只允許訪問最近的日志條目，而不是整個日志文件。

所以想要分析日志中所有和關(guān)機(jī)有關(guān)的事件，就需要通過「終端」和相應(yīng)的指令進(jìn)行分析。如果你的 Mac 近期出現(xiàn)了意外重啟等問題，不妨跟著下面的步驟試一試，打開「終端」，并輸入如下指令：

log show --predicate 'eventMessage contains "Previous shutdown cause"' --last 24h

上面這一串指令會使用 log show 檢索系統(tǒng)日志，predicate 可以進(jìn)一步篩選日志，在本文中我們篩選的日志類型是 eventMessage中包含Previous shutdown cause（此前關(guān)機(jī)的原因）的信息，而篩選的時間范圍--last 24h則是過去 24 小時，如果有必要的話可以擴(kuò)展到 36 小時甚至更長。

靜靜等待一段，你就能看到如上圖一樣的、將日志篩選后到結(jié)果，我們需要注意的信息就是Previous shutdown cause后續(xù)跟隨的數(shù)字，這個數(shù)字代表著 Mac 電腦上次是因為什么原因而關(guān)閉的。總的來說，負(fù)數(shù)的代碼通常是因硬件而關(guān)機(jī)的，該信息由系統(tǒng)管理控制器 (SMC)2或處理器本身3報告；而正數(shù)因軟件而關(guān)機(jī)的。以下是每個代碼所包含的含義：

如果你的 Mac 出現(xiàn)大量因為 0（斷電）導(dǎo)致的意外關(guān)閉，那么就需要進(jìn)行一定的排查。對于沒有電池的臺式 Mac 而言，主要檢查的就是電源線有沒有牢牢插入到電源接口中；如果依然出現(xiàn)這樣的問題則很有可能是計算機(jī)內(nèi)的電源出現(xiàn)了問題，需要進(jìn)行維修。對于有電池的筆記本型 Mac 而言，需要同時檢查電源線和電池；筆記本型 Mac 通常會在電池耗盡之前進(jìn)入休眠狀態(tài)；出現(xiàn)斷電而導(dǎo)致的關(guān)機(jī)很有可能是電池或讀取電量的電池控制器有硬件問題，對于 Intel 款 Mac 而言需要根據(jù)官方文檔重置 smc，而 M 系列 Mac 需要手動重啟一次。如果上述步驟依然不起作用的話，也需要進(jìn)行維修。

長時間未響應(yīng)可能會讓整個系統(tǒng)崩潰，嚴(yán)重時還會導(dǎo)致相關(guān)數(shù)據(jù)丟失。定時器超時作為 macOS 中一項功能，它可以有效防止未響應(yīng)的程序?qū)е碌膬?nèi)核崩潰。偶然發(fā)生的 -61/-62 錯誤可能沒什么問題，但短時間內(nèi)出現(xiàn)大量的類似錯誤就要對電腦進(jìn)行排查了；-61 表示系統(tǒng)認(rèn)為不能自動恢復(fù)的情況只能進(jìn)行關(guān)機(jī)，而 -62 用于系統(tǒng)確定重啟后可能解決的情況并進(jìn)行重啟。排查的辦法很簡單，在 macOS 啟動時進(jìn)入安全模式，在安全模式下啟動項目和守護(hù)程序都被禁用；如果沒有再次意外關(guān)機(jī)則是最近安裝或更新的程序出現(xiàn)了問題，如果再次意外關(guān)機(jī)則和系統(tǒng)本身有關(guān)。

以上就是 macOS 的部分了，相信這個指令可以簡單幫你定位問題，并為你后續(xù)的問題解決打下一個不錯的基礎(chǔ)。

Windows

除了 macOS，Windows 系統(tǒng)日志同樣可以在時間查看器中查看并進(jìn)行篩選，但考慮界面相對「復(fù)古」且用于篩選的 UI 選項更為復(fù)雜，因此我也更推薦大家使用命令行工具獲取和篩選日志。

如果你的 PC 電腦近期出現(xiàn)了意外重啟等問題，不妨跟著下面的步驟試一試：

# 命令 1
Get-Eventlog -LogName System -Source "User32" | group EventID

# 命令 2
Get-EventLog -LogName System -Source "Microsoft-Windows-Kernel-Power" | Where-Object { $_.EventID -eq 41 }

Get-EventLog 是 Windows 中獲取日志的命令，-LogName System 則限定了查找由系統(tǒng)生成的命令。-Source 則是來源，User32 和 Microsoft-Windows-Kernel-Power 則是兩個不同的來源。

從用戶或程序?qū)用孢M(jìn)行分析

User32 是一個 Windows 系統(tǒng)應(yīng)用程序源，它包含了許多與用戶界面相關(guān)的函數(shù)，如窗口創(chuàng)建、消息處理、控件操作等等；它還會負(fù)責(zé)處理用戶交互方面的任務(wù)，例如鼠標(biāo)、鍵盤輸入和窗口管理等。因此由用戶或是程序發(fā)起的事件，如登錄、注銷、鎖定或解鎖計算機(jī)等，都可以通過 User32 來源來定位。而后 | 用于進(jìn)一步處理 Get-EventLog 得到的數(shù)據(jù)，這里按照 EventID事件 ID 來group 成組。

目前我電腦中只有 1074 這個事件，這個 1074 事件是計算機(jī)的正常關(guān)機(jī)的主要表現(xiàn)形式。如果 User32 有其他的 EventID 那么用下面的命令進(jìn)一步分析：

# 本例中依然用 1074 做分析 
Get-Eventlog -LogName System -Source "User32"  -Newest 1 | Where-Object { $_.EventID -eq 1074} | fl *

前面的命令就不再贅述了，-Newest 1 表示選取最近的一個日志， | 用于進(jìn)一步篩選 Get-EventLog 得到的數(shù)據(jù)。Where-Object 表示篩選一個對象數(shù)組，$_ 表示當(dāng)前處理的對象（也就是 | 傳遞過來的數(shù)據(jù) ），.EventID 表示對象的 EventID 屬性，-eq 是一個比較運算符，表示等于，這里等于的 1074 這個事件。| 依然是用于進(jìn)一步處理 Where-Object 得到的數(shù)據(jù)，由 fl（也可以用完整寫法 Format-List 替代）格式化輸出對象的*所有屬性。

找到其中的 Reason Code: 0x80020010 可以得知這是一個計劃內(nèi)的關(guān)機(jī)請求，如果不是服務(wù)器的話，這一般由 Windows Update 自動更新發(fā)起；而由用戶發(fā)起的關(guān)機(jī)則會被標(biāo)識為 0x0。以下是常見的 Reason Code 所表示的含義，完整列表可以參見這里：

藍(lán)屏問題導(dǎo)致關(guān)機(jī)或重啟，還可以進(jìn)一步下方的命令進(jìn)行分析。

從電源管理相關(guān)的事件入手進(jìn)行分析

不過很多意外關(guān)機(jī)的事件，比如藍(lán)屏導(dǎo)致的，無法被 User32 捕獲，因此從Microsoft-Windows-Kernel-Power 獲取電源狀態(tài)、電源事件以及與電源管理相關(guān)的錯誤和警告信息得到更多的信息。

Get-EventLog -LogName System -Source "Microsoft-Windows-Kernel-Power" | Where-Object { $_.EventID -eq 41 }

代碼中相似的內(nèi)容不再贅述，在Microsoft-Windows-Kernel-Power和意外關(guān)機(jī)有關(guān)的 EventID 是 41，這個事件通常是在意外關(guān)機(jī)后重啟的階段中生成的。輸入上面的命令以后，Powershell 會輸出一段包含十進(jìn)制 BugcheckCode 的內(nèi)容，首先需要將它轉(zhuǎn)換為十六進(jìn)制，以做進(jìn)一步分析。

如 159 等同于 0x0000009f，209 等同于 0x000000d1 等等，轉(zhuǎn)換后的十六進(jìn)制就可以得到最終的含義了。BugcheckCode 內(nèi)容也和藍(lán)屏?xí)r輸出的錯誤碼是相同的內(nèi)容，有的時候藍(lán)屏代碼一跳而過，所以這也是找到問題的好辦法。以下是常見的錯誤的代碼以及含義，完整列表請看這里：

由于錯誤碼的種類繁多，因此這里不太可能一一列舉。另外還需要注意的是，同一個錯誤可能會有不同的原因而導(dǎo)致，排查時可以從近期的軟件改動入手去尋找電腦意外關(guān)機(jī)的原因，排查完軟件以后才是排查硬件的真正時機(jī)。

關(guān)于 Powershell 7 使用中的一些細(xì)節(jié)

值得注意的是，Get-EventLog只能使用 Windows 內(nèi)的 Powershell 運行；Powershell 7 中因為相關(guān) API 已被棄用，會提示無效指令，因此需要換用Get-WinEvent命令：

# 命令 1
Get-WinEvent -ProviderName 'User32' | group EventID

# 命令 2
Get-WinEvent -ProviderName "Microsoft-Windows-Kernel-Power" | Where-Object { $_.EventID -eq 41}

# 命令 2 改進(jìn)版
Get-WinEvent -FilterHashtable @{ProviderName="Microsoft-Windows-Kernel-Power"; Id=41}

Get-WinEvent 是 Powershell 7 中獲取 Windows 日志的新命令，不同于此前的Get-EventLog能同時篩選具體的事件日志-LogName和事件源-Source；Get-WinEvent在使用時只能在篩選事件日志-Logname和事件源-ProviderName中二選一。Get-WinEvent 還可以使用一個新的寫法 -FilterHashtable，降低命令長度的同時提高索引效率。

以上就是本文的全部內(nèi)容了，希望可以在未來幫助到你。

看見人間百態(tài)#

#2023年度創(chuàng)作挑戰(zhàn)##記錄我的2023##挑戰(zhàn)30天在頭條寫日記##實話實說#

2000年4月2日下午18時左右，上海市公安局嘉定分局刑偵支隊接到110指揮中心的出警指令，工人俱樂部公眾電腦屋的壁櫥里可能藏著一具尸體，可能屬于一個已經(jīng)失蹤二十多天的年輕女子的尸體——

接到報警后，嘉定分局刑偵支隊的偵查、技術(shù)人員火速趕到現(xiàn)場，用手電筒往部分被電腦桌阻擋著，只能開著一條縫的壁櫥里照，初步確認(rèn)里面是一具尸體。于是立即封鎖現(xiàn)場，等待上海市公安局刑偵總隊的技術(shù)人員和法醫(yī)的到來。

21時30分，壁櫥的門被徹底打開，里面躺著一具以及高度腐敗的年輕女尸，經(jīng)過電腦屋老板和員工的確認(rèn)，死者系公眾電腦屋兼職收款員、時年22歲的韓某某。經(jīng)過尸檢，法醫(yī)認(rèn)定韓某某的直接死因系被人掐住脖子造成機(jī)械性窒息死亡，死亡時間在3月5日22時至3月6日0時。

根據(jù)公眾電腦屋的老板介紹，韓某某是附近一家公司的職員，下班后來電腦屋干兼職貼補(bǔ)用度，最后一次看到她是3月5日晚上，這天晚上電腦屋的員工們一起聚餐，聚餐結(jié)束后電腦屋繼續(xù)營業(yè)，而韓某某就在當(dāng)天值夜班（電腦屋24小時營業(yè)）。然而在3月6日一早來接她班的收款員找不到她人，而電腦屋的店門沒有關(guān)，燈也沒有關(guān)，室內(nèi)的電腦的電源也全部處在開機(jī)狀態(tài)，此外3月5日那天電腦屋的營業(yè)款也不翼而飛了。

根據(jù)公眾電腦屋的電腦維修工劉某回憶，因為當(dāng)晚聚餐的時候喝了酒，韓某某在3月5日晚上來電腦屋上班的時候渾身帶著酒氣，所以當(dāng)他得知韓某某失蹤后一開始還以為她喝酒把胃喝傷了，所以去醫(yī)院看病了，然而當(dāng)他們找遍了附近的醫(yī)院和診所都沒有找到韓某某。去韓某某家中尋找，韓某某的父母也表示韓某某3月5日就沒有回家。

由于韓某某連同營業(yè)款一同消失，再加上當(dāng)時的時間段上海發(fā)生過多起網(wǎng)吧職工卷走營業(yè)款潛逃的盜竊案，因此公眾電腦屋的老板以為韓某某卷款潛逃了，由于卷款金額也不多，也就716元，夠連續(xù)上網(wǎng)70個小時左右。所以她也沒有報警，就當(dāng)遇人不淑，自認(rèn)倒霉。

……

然而，從3月下旬開始，電腦屋里就開始散發(fā)腐臭的味道，一開始以為是來上網(wǎng)的年輕人將食物到處亂丟，腐敗變質(zhì)造成的，但是將這些食物殘渣清理后沒幾天，味道又開始散發(fā)，且越來越濃重。

到了4月2日下午，味道已經(jīng)難聞到?jīng)]法坐下來安心上網(wǎng)的地步了，所以維修工劉某開始對室內(nèi)進(jìn)行檢查，發(fā)現(xiàn)味道來源于一只電腦桌擋著的壁櫥，于是他將電腦桌挪開，將壁櫥的門打開了一條縫，結(jié)果一股惡臭撲鼻而來。劉某第一眼看到壁櫥里有一件毛衣，毛衣的顏色和式樣讓劉某突然想到，二十多天前失蹤的韓某某也有這么一件毛衣。劉某意識到韓某某可能不是失蹤，而是遇害，為了不破壞現(xiàn)場，他選擇立即報警。

由于現(xiàn)場經(jīng)過十分仔細(xì)的清理，所以在一整夜的現(xiàn)場勘查的大部分時間沒有獲得任何有價值的痕跡物證，最后在“刑警803”（上海市公安局刑偵總隊的別稱）的協(xié)助下動用當(dāng)時最先進(jìn)的勘察用器材，最終在壁櫥門附近和死者的身上各發(fā)現(xiàn)了一根極為細(xì)微，肉眼無法看清的毛發(fā)，火速送往刑偵總隊刑技中心進(jìn)行鑒定，認(rèn)定這是一份不屬于死者的DNA。不過，由于當(dāng)時上海市公安局的DNA數(shù)據(jù)庫并不完善且沒有和全國各地公安機(jī)關(guān)的DNA數(shù)據(jù)庫實施聯(lián)網(wǎng)，所以這份DNA在當(dāng)時的上海市公安局DNA數(shù)據(jù)庫中沒有找到可以匹配的樣本之后暫時擱置，說明犯罪分子之前沒有在上海犯過罪，沒留下案底，只能等抓到人再進(jìn)行比對看是否一致了。

從4月2日至4月5日，警方在現(xiàn)場附近區(qū)域進(jìn)行了三次調(diào)查訪問，總共訪問了一百余人；同時對死者韓某某的社會關(guān)系進(jìn)行排查，重點排查韓某某的同學(xué)，好友，同事等接觸頻繁的人員；此外對3月5日晚至3月6日凌晨出入電腦屋的人員進(jìn)行一一過篩。

果然，偵查員在對3月5日晚至3月6日凌晨出入電腦屋的人員的過篩中發(fā)現(xiàn)了一個可疑對象，他是嘉定地區(qū)黃渡鎮(zhèn)某合資公司的部門經(jīng)理，他在電腦屋出現(xiàn)的時間和法醫(yī)劃出的死者死亡時間段比較吻合。于是，偵查員前往黃渡鎮(zhèn)，將該地區(qū)的所有外資企業(yè)與合資企業(yè)全部查了個遍，結(jié)果一名曾在一家西班牙外資公司上班的許某某符合排查條件，可是此時此人已經(jīng)辭職回了丹陽老家。

于是，嘉定警方火速聯(lián)系了丹陽市公安局，請求他們協(xié)助調(diào)查許某某。許某某到案后向警方承認(rèn)自己確實在3月5日晚上去過公眾電腦屋上網(wǎng)，是韓某某給他開的卡，但是他在電腦屋里只待了一個小時就離開了。通過電腦屋附近的監(jiān)控錄像畫面，證實了許某某的說法，故而排除了許某某的嫌疑。

在接下來的排查中，偵查員的懷疑目標(biāo)逐漸集中到在附近某工廠熱處理車間當(dāng)臨時工男青年張翔身上。經(jīng)張翔的師傅反映：張翔平時在上工的時候表現(xiàn)不錯，為人沉默寡言，老實巴交，也從來沒有遲到和早退。但是他一下班就往公眾電腦屋里跑，風(fēng)雨無阻，就跟魔怔了一樣。在宿舍里，工友們經(jīng)常聽到張翔在跟人打電話，聊的內(nèi)容也都是關(guān)于上網(wǎng)的事。

據(jù)了解，時年24歲的張翔出生在黑龍江，是知青子女，1997年隨母親將戶口從黑龍江遷回上海，暫住在姑媽家里。

張翔的工友們普遍都認(rèn)為張翔這個人很孤僻，甚至有些自閉，在現(xiàn)實中幾乎不和任何人交流，只通過上網(wǎng)來消磨時間。此外，張翔所在車間的車間主任還提到一個細(xì)節(jié)：張翔有幾個黑龍江的發(fā)小（也是知青子女）回上海后在寶鋼工作，一到節(jié)假日，張翔就去寶山區(qū)找那幾個發(fā)小一起上網(wǎng)，徹夜不歸，有一次他的父母找不到人甚至找到了廠里頭，鬧得影響很不好。

經(jīng)過核實，張翔經(jīng)常打電話的號碼，就是他那幾個在寶鋼上班的發(fā)小。

同時，公眾電腦屋老板證實：張翔在3月5日晚確實在20時過后不久來店里上網(wǎng)，到她在20時55分離開電腦屋的時候，張翔依然還在上網(wǎng)。

此外，在3月6日晚上，她再度遇到張翔，此時她正因為韓某某的失蹤和損失了一天的營業(yè)款而煩惱不已，見到張翔后就用普通話問他：“你昨天（3月5日）什么時候走的？”

張翔回答：“晚上十點（22時）過后走的。”

老板又問：“你走的時候店里還有幾個人？”

張翔回答：“還有四、五個人。”

老板繼續(xù)問：“那么你走的時候店里收錢的小姑娘（指死者韓某某）還在不在？”

張翔回答：“不知道，我是不會注意她的。”

而且，從3月7日開始，張翔就不再來公眾電腦屋上網(wǎng)了，而是換了另外一家網(wǎng)吧，但沒想到這家網(wǎng)吧的老板和公眾電腦屋的老板是好友，因此當(dāng)公眾電腦屋的老板知道此事后在發(fā)現(xiàn)韓某某尸體后不久向警方反映了此事。

通過對張翔的戶籍信息的查詢，警方了解到他的住在李園二村，按說距離公眾電腦屋更近，然而案發(fā)后卻舍近求遠(yuǎn)換了地方，是巧合還是心虛？他換網(wǎng)吧上網(wǎng)的時間段恰巧和韓某某被害的時間段重合，這是否又是巧合？

張翔的父母說，家里的經(jīng)濟(jì)條件并不好，但張翔花錢卻大手大腳，還要買摩托車，被父母拒絕后破天荒地大發(fā)了一通脾氣。說：誰誰誰家爸媽為了他結(jié)婚把房子準(zhǔn)備好了；誰誰誰家爸媽給他買了臺車；誰誰誰家的爸媽給他買了大哈雷，你們給我買了什么？

為此，警方在4月6日傳喚了張翔，張翔到案后采用沉默態(tài)度進(jìn)行對抗，然而警方也不著急，雙方就這么大眼瞪小眼地耗了大半天后，警方就將他放了回去。然而張翔走后，警方在他坐過的椅子上提取到了他的DNA，然后拿去刑偵總隊刑技中心進(jìn)行鑒定，果然和之前在現(xiàn)場提取到的那一份陌生DNA對應(yīng)上了。當(dāng)晚，警方將張翔刑事拘留。

在證據(jù)面前，張翔再也無法抵賴，交代了他的犯罪事實。

3月5日20時，張翔如同往常一樣來到公眾電腦屋上網(wǎng)、打游戲，至22時30分其他人都走了，室內(nèi)只剩下他和韓某某。看韓某某因為酒勁上頭而趴在收銀臺睡著，就起了盜取收銀臺營業(yè)款的念頭。然而，當(dāng)他把手伸向存放營業(yè)款的抽屜時，韓某某忽然驚醒，問：“你干什么？”

張翔一不做二不休，伸手掐住韓某某的脖子，最終將韓某某活活掐死。他是這樣描述作案過程的：

“當(dāng)時我一著急，就伸手卡住她的（脖子），不想讓她喊出聲，一直到她不動彈了，一摸她的脈搏，不跳了。”

“一個活蹦亂跳的小姑娘，被你掐死了，你當(dāng)時怎么想的？”

“我當(dāng)時跪在她邊上，然后哭了，我一邊想著我媽媽一邊自言自語：媽，我殺人了。”

然后，他拿走了716元營業(yè)款，又將韓某某的尸體塞入電腦桌邊的壁櫥，然后將現(xiàn)場仔仔細(xì)細(xì)地清理了一遍后逃離現(xiàn)場。3月6日他又來了一次，確定沒有什么異常后就從3月7日開始換了一家網(wǎng)吧。

至此，本案真相大白，張翔因故意殺人罪被批準(zhǔn)逮捕。在庭審中，張翔和他的辯護(hù)人提出：張翔當(dāng)時正沉迷于游戲，在行兇的時候正幻想自己是某款電腦游戲中的角色在“殺惡魔”、“打怪獸”，所以在作案的時候精神并不是處在正常狀態(tài)，希望法庭注意到這一點并以過失殺人罪從輕處罰。不過，在經(jīng)過精神鑒定后，認(rèn)定張翔沒有任何精神方面的疾病，是一個具有完全行為能力的正常人，所以駁回了輕判的請求，依法以故意殺人罪判處張翔死刑，剝奪政治權(quán)利終身。