定加密散列函数的攻击手段，攻击者可以利用H（消息）和消息的长度，不知道消息内容的情形下，将攻击者控制的消息计算出H（消息 ‖ 消息）。该攻击适用于在"消息"与"密钥"的长度已知的情形下，所有采取了 H("密钥" ∥ "消息") 此类构造的散列函数。MD5和SHA-1等基于的算法均对此类攻击显示出脆弱性。注意，由于金钥杂凑讯息鑑别码（HMAC）并未采取 H("密钥" ∥ "消息") 的构造方式，因此不会受到此类攻击的影响（如HMAC-MD5、HMAC-SHA1）。SHA-3算法对此攻击免疫。Secti