La Modalità di ricerca sicura delle DLL è un'impostazione di Windows che modifica l'ordine usato per individuare i file DLL quando un'applicazione carica una libreria in base al nome anziché a un percorso completo. Con l'ordine più sicuro, Windows cerca prima nelle posizioni di sistema attendibili e solo dopo in posizioni meno attendibili, come la directory di lavoro corrente. Questo aiuta a prevenire l'abuso del percorso di ricerca delle DLL, in cui un attaccante colloca una DLL dannosa in una cartella scrivibile e attende che un programma con privilegi la carichi.
È importante perché molti attacchi reali di escalation dei privilegi si basano su una ricerca prevedibile delle DLL anziché su exploit complessi. Se uno strumento di manutenzione, un servizio o un programma eseguito da un amministratore viene avviato da una directory non sicura, la libreria sbagliata può essere caricata ed eseguita con diritti elevati. La Modalità di ricerca sicura delle DLL riduce questo rischio, ma non è una soluzione completa. Difese efficaci includono anche il caricamento delle DLL tramite percorso completo, la limitazione dei permessi delle directory e, quando possibile, l'uso dei moderni controlli di caricamento delle DLL di Windows.