MD5（Message-Digest Algorithm 5）是计算机世界中最广为人知的哈希算法之一。它在过去几十年里几乎无处不在：软件校验、数据去重、缓存 Key、协议签名等。如今，随着计算能力飞速提升与数学攻击出现，MD5 已不再适用于安全场景，但它的技术实现、工程价值与教育意义仍非常重要。
本文将从基础、数学结构、算法流程、碰撞原理、工程实践、以及替代方案全方位深入解析 MD5。
MD5 是是一种广泛使用的密码散列函数（Cryptographic Hash Function），由 麻省理工学院（MIT）的密码学先驱 Ronald Rivest 在 1991 年设计，1992 年发布于 RFC 1321。它可以将任意长度的数据，通过一系列运算，转换为一个 128 位（16 字节） 的哈希值，通常使用 32 位十六进制字符串表示。
例如：
输入：Hello
MD5：8b1a9953c4611296a827abf8c47804d7
特点：
MD5 的输出格式：
MD 家族年表：
MD5 最初被设计为：
但自 2004 年起，MD5 的安全性被连续攻破，逐步退出安全领域。
MD5 属于基于 Merkle–Damgård 结构的哈希函数： 它把输入拆成固定大小的数据块，对每个块迭代处理，更新内部状态。
其核心包括：
MD5 的内部状态 = A、B、C、D 四个寄存器：
A = 0x67452301
B = 0xefcdab89
C = 0x98badcfe
D = 0x10325476
这些初始值是人为设计的，看似随机，其实是为了让结果分布更均匀。
每个 512-bit 数据块都会经过：
| 轮次 | 核心逻辑 | 描述 |
|---|---|---|
| 第1轮 | F 函数 | 基于 B、C、D 的逻辑组合 |
| 第2轮 | G 函数 | 更复杂的非线性组合 |
| 第3轮 | H 函数 | 异或结构 |
| 第4轮 | I 函数 | 高度非线性 |
每轮 16 步，总计 64 次迭代运算。
下图为 MD5 的标准计算流程（此为简化版，完整算法非常复杂，有兴趣可以直接看 RFC 1321）：
输入消息
↓
填充消息（Padding）
↓
添加长度字段（64 bit）
↓
按 512-bit 分块
↓
初始化寄存器 A,B,C,D
↓
for each block:
64 次运算（4轮 × 16 步）
↓
连接 A,B,C,D 得到最终摘要
MD5 要求输入长度 ≡ 448 (mod 512)。 具体：
0x800x00，直到长度满足要求例：
输入 "abc"（24 bit）
最终会被扩展成一个完整的 512-bit 块。
填充后的消息被拆成：
N × 512 bits 块
↓
每块进一步分成 16 个 32-bit 小段
对每个 512-bit 的块执行：
属于典型的：
这也是 MD5 雪崩效应的来源。
每一轮使用不同的非线性函数（$F, G, H, I$）：
运算公式：
在每一步中，通过混合当前的寄存器值、消息子块 $M_i$ 和常数表 $K_i$，并进行循环左移 (Left Rotate)，更新寄存器的值。
$$A = B + ((A + Function(B, C, D) + M_i + K_i) \lll s)$$
把最终的 A、B、C、D 拼接成：
128-bit digest → 32 位十六进制
MD5 的核心是不断对数据进行位移、加法、异或等操作，使输出看起来完全随机。
举个雪崩效应例子：
示例：
MD5("hello") = 5d41402abc4b2a76b9719d911017c592
MD5("hello!") = fc3ff98e8c6a0d3087d515c0473f8677
差别巨大。
MD5 已被证实能够构造：
| 年份 | 事件 | 攻击复杂度（大致） | 影响程度 |
|---|---|---|---|
| 1993 | Hans Dobbertin 发现伪碰撞（不同 IV） | — | 学术 |
| 1996 | Dobbertin 找到有意义的碰撞（手工构造） | 手工构造 | 学术 |
| 2004 | 王小云、冯登国、于红波首次公布实用碰撞攻击 | 2⁶⁹ → 数小时（理论） | 震惊业界 |
| 2005 | Vlastimil Klima 将碰撞时间降到 1 小时（普通 PC） | 2⁶⁰ 左右 | 可实际操作 |
| 2006 | Klima “tunnels” 技术，8 小时 → 1 分钟 | 2⁵⁰ 以下 | 普及化 |
| 2007 | Marc Stevens 选择前缀碰撞（Chosen-Prefix Collision） | 2⁵⁰ | 危险 |
| 2008 | Stevens + Sotirov + Appelbaum 等利用选择前缀碰撞伪造 RapidSSL CA 证书 | 2⁴⁹（租用 200 台 PS3，几天完成） | 实网攻击成功 |
| 2009 | Tao Xie & Dengguo Feng 将碰撞攻击降到秒级 | 2²¹（2010 年论文，普通笔记本 1 秒） | 彻底死亡 |
| 2012 | Flame 蠕虫利用 MD5 选择前缀碰撞伪造 Windows Update 签名 | 实网利用 | 国家级别攻击 |
| 2017 | Google & CWI 发布 SHAttered，首个公开的两个不同 PDF 相同 MD5 | 2⁶³ GPU·小时（已极低） | 向公众展示 |
| 2023 | 单台 RTX 4090 已可在 10 秒内生成任意 MD5 碰撞（hashcat + fastcoll） | < 2³⁰ | 玩具级别 |
攻击者：
微软 Windows Update 使用 MD5 终端服务器许可协议漏洞 攻击者通过碰撞伪造了一个看起来由微软签发的代码执行载荷 直接导致微软紧急发布 KB2718704 补丁，全球撤销所有 MD5 证书
即：不同的输入可能产生相同的 MD5 值。
例如：A 和 B 两个不同数据 → 产生相同 MD5（哈希碰撞）。
2004 年起，研究人员已经可以批量制造 MD5 碰撞。
MD5 计算过快，使其不适合密码哈希：
现代密码学要求：
MD5 均不具备。
不，MD5 不是加密，而是哈希。 而且它太快、太容易被暴力破解。
“不可以逆” ≠ “不能猜出来”。 现代 GPU 能一秒计算几十亿次 MD5。
MD5 + Salt 比纯 MD5 强得多，但仍然不推荐。 更好的方案是：bcrypt / PBKDF2 / scrypt / Argon2。
虽然 MD5 已不再适用于密码存储等安全场景，但在许多非安全场景中仍然非常实用：
常见于软件平台发布文件时：
ISO 文件下载 → 提供 MD5 校验值
用户比对 → 确认文件未损坏
举例：
filename.zip
MD5: d41d8cd98f00b204e9800998ecf8427e
用户下载之后比对 MD5 值，即可判断文件是否被损坏或篡改。
MD5 可将大内容映射为短字符串，快速判断两个文件内容是否相同，提升效率。
如：
将大文本转换成短 hash，使缓存结构更加清晰。
API 或网络通信中，使用 MD5 校验包内容的完整性。
一些系统仍使用 MD5 来做简单的 Token、签名，但这类用途已被认为不够安全。
MD5与其他哈希算法对比：
| 算法 | 输出长度 | 安全性 | 推荐用途 |
|---|---|---|---|
| MD5 | 128 bit | 已不安全 | 文件校验、去重 |
| SHA-1 | 160 bit | 已不安全 | 遗留系统 |
| SHA-256 | 256 bit | 安全 | 签名、密码校验 |
| SHA-512 | 512 bit | 安全 | 高安全需求 |
| bcrypt / scrypt / Argon2 | 128+ bit | 专为密码存储设计 | 密码哈希 |
根据不同用途有不同的替代方案，具体如下：
| 用途 | 首选算法 | 备选 | 备注 |
|---|---|---|---|
| 密码存储 | Argon2id | bcrypt, scrypt | 抵抗 GPU/ASIC |
| 数字签名、证书 | SHA-256, SHA-384, SHA-3 | BLAKE3 | 所有主流 CA 已禁用 MD5/SHA-1 |
| 文件完整性校验 | BLAKE3 | SHA-512, SHA-3 | BLAKE3 比 SHA-256 快 5~10 倍 |
| 快速非加密哈希（去重） | xxHash, BLAKE3, HighwayHash | WyHash | 速度可达 30 GB/s 单核 |
| 区块链、Merkle 树 | SHA-256（比特币） | BLAKE3（新项目） | 比特币仍用双 SHA-256 |
| 国密场景 | SM3 | — | 中国密码行业标准 |
import crypto from "crypto";
function md5(text) {
return crypto.createHash("md5").update(text).digest("hex");
}
console.log(md5("Hello World"));
import hashlib
text = "Hello World"
md5_value = hashlib.md5(text.encode()).hexdigest()
print(md5_value)
#include <openssl/md5.h>
#include <iomanip>
#include <iostream>
#include <sstream>
std::string md5(const std::string &str) {
unsigned char digest[MD5_DIGEST_LENGTH];
MD5((unsigned char*)str.c_str(), str.size(), digest);
std::ostringstream ss;
for (int i = 0; i < MD5_DIGEST_LENGTH; ++i)
ss << std::hex << std::setw(2) << std::setfill('0') << (int)digest[i];
return ss.str();
}
int main() {
std::cout << md5("Hello World") << std::endl;
}
echo md5("Hello");
在线文本MD5工具：MD5加密
在线文件MD5工具：文件Hash
MD5 是一项意义重大、工程中仍极为常见的哈希技术：
MD5 并未过时，但其位置从“安全算法”转变为“工程工具”。在正确的场景使用 MD5，它依然是现代计算中不可或缺的基础模块。