注意：IO_WORKITEM 的结构定义通过 Windows XP 和更高版本的符号服务器来实现。早期版本的 Windows 具有相同结构，但符号不可用。
kd> dt -r1 _IO_WORKITEM 820ae3c8
+0x000 WorkItem :
+0x000 List : _LIST_ENTRY [ 0x0 - 0x8054edec ]
+0x008 WorkerRoutine : 0x8057fb78 nt!IopProcessWorkItem+0
+0x00c Parameter : 0x820ae3c8
+0x010 Routine : 0xf289dff0 +0
+0x014 DeviceObject : 0xfe01b110
+0x000 Type : 0
+0x002 Size : 0
+0x004 ReferenceCount : 0
+0x008 DriverObject : (null)
+0x00c NextDevice : (null)
+0x010 AttachedDevice : 0x1fde0970
+0x014 CurrentIrp : (null)
+0x018 Timer : (null)
+0x01c Flags : 0
+0x020 Characteristics : 0x490049
+0x024 Vpb : 0x000c0105
+0x028 DeviceExtension : 0x0001ffff
+0x02c DeviceType : 0x86a24
+0x030 StackSize : 8 ''
+0x034 Queue : __unnamed
+0x05c AlignmentRequirement : 0x7fffffff
+0x060 DeviceQueue : _KDEVICE_QUEUE
+0x074 Dpc : _KDPC
+0x094 ActiveThreadCount : 0
+0x098 SecurityDescriptor : (null)
+0x09c DeviceLock : _KEVENT
+0x0ac SectorSize : 0
+0x0ae Spare1 : 0
+0x0b0 DeviceObjectExtension : (null)
+0x0b4 Reserved : (null)
+0x018 Context : 0x81f4a14c
注意：该设备对象的内容未表明它是一个有效的设备对象。但 Context 字段有效，且 !pool 命令显示了 Culprit Pool Tag 的 pooltag。 6. 要确定 Routine 地址是否有效，请对池地址使用 ln 命令。如果有符号，则对池地址使用 ln 命令的结果应对应于 culprit 驱动程序中的某个地址。因此，一个有根据的猜测是 IO_WORKITEM 对应于由池标记的驱动程序生成的某个设备。 7. 在以下代码中，工作队列包含一个项。因此，取消对 BLINK 的引用可以轻松地找到它。由于工作队列可能包含多个项，因此必须取消对每个工作项的 BLINK 的引用，直到您找到其 BLINK 指向 KQUEUE 的工作项。
kd> !pool 81f4a14c
Pool page 81f4a14c region is Nonpaged pool
*81f4a140 size: 2b8 previous size: 8 (Allocated) *Culprit Pool Tag
