息内容的情形下，将攻击者控制的消息计算出H（消息 ‖ 消息）。该攻击适用于在"消息"与"密钥"的长度已知的情形下，所有采取了 H("密钥" ∥ "消息") 此类构造的散列函数。MD5和SHA-1等基于的算法均对此类攻击显示出脆弱性。注意，由于金钥杂凑讯息鑑别码（HMAC）并未采取 H("密钥" ∥ "消息") 的构造方式，因此不会受到此类攻击的影响（如HMAC-MD5、HMAC-SHA1）。SHA-3算法对此攻击免疫。
解释.对此类攻击脆弱的散列函数的常规工作方式是：获取输入消