警方首先通过包裹上的土壤、草籽痕迹、包裹附近地面上的痕迹、头颅之上的撞击点，计算出了头颅坠落时的运动轨迹，确认这个包并非是有人放在铁道旁，而确实是从列车上抛下的。
接着排查嫌疑人所在的列车。铁道巡查间隔2小时，警方首先将包出现前2小时途径那段铁路的12趟列车找到。其中有5趟货车，7趟客车。
货车好排查，因为都是集装箱式货车，装卸前验货，外来人进不去，进去了也出不来，无法抛尸。
车上拢共7个人——2名机车乘务员，也就是司机和副司机。1名车辆乘务员，1名列车长，3名货运员。有没有带包，带了什么包，中途有什么动作，都一清二楚，很快就排除了嫌疑。
7趟客车之中，有4趟都是窗户不能打开的动车组，根本无法抛尸。3趟是有部分窗户可以打开的25K型单层列车。
所以排查对象就集中在这3趟列车之中，抛颅点此前的站点都有可能是凶手上车的地方，因而当年警方一共查了8个站点，要到了这三趟列车售卖出的所有车票记录，但这些信息与身份并不关联，只是车次、座位号、优惠票类型、出发/到达站点的记录。
这些记录的数量达到了十分惊人的5000多人的程度，警方的排查工作做得非常困难，哪怕联系到了所有涉及省市的警力，紧急对沿线各个站点进行了拦阻巡检，将可疑的那三趟车仔细查了个遍，尽量将座位号与乘客身份一一对应上，并排除掉明显不符合凶手画像的人员，比如年迈的老人、年幼的孩子、腿脚不方便的残疾人和盲人等。最终人数依然高达上千人，且这上千人中相当一部分只有车次、座位号的信息，全无身份信息。
“当时真的是跟凶手赛跑抢时间，案发后，各级的反应都特别快，立刻就开始拦截列车突击检查，但还是来不及啊，距离案发前经过的最近一趟列车也已经快到最终站了。中途经过了非常多的站点，凶手都有可能下车。所以……我们实在是不能肯定现在这份上千人的名单，到底是不是漏掉了凶手。”老谷挠着自己所剩不多的发顶纠结道。
“抱歉我打断一下。”法医李之枚出言道，众人的目光都看向她，“我觉得咱们死盯着这份名单没有多大意义，信息量太少了，价值不大。刚才秦老师说得对，要查的话，得从与被害人明确产生关联的地方查起。”
“你也认可查那家补习学校？”刘明城问。
李之枚看上去性格直率，有话直说：“是的。