"消息") 此类构造的散列函数。MD5和SHA-1等基于的算法均对此类攻击显示出脆弱性。注意，由于金钥杂凑讯息鑑别码（HMAC）并未采取 H("密钥" ∥ "消息") 的构造方式，因此不会受到此类攻击的影响（如HMAC-MD5、HMAC-SHA1）。SHA-3算法对此攻击免疫。
解释.对此类攻击脆弱的散列函数的常规工作方式是：获取输入消息，利用其转换函数的内部状态；当所有输入均处理完毕后，由函数内部状态生成用于输出的散列摘要。因而存在着从散列摘要重新构建内部状态、并进一步用于处理新