更新

具有讽刺意味的是，在我发布前一个答案后的几个星期，两位中国研究人员，陶燮和邓国峰，published a new single-block collision for MD5 . 直到现在我还没有意识到那篇论文 . 单个MD5块意味着输入大小为64字节或512位 . 请注意，输入大多相同， differing only in 2 bits .

他们的方法将在2013年1月之前公布，但现在可以使用论文中的数字来验证它们的碰撞：

>>> from array import array

>>> from hashlib import md5

>>> input1 = array('I', [0x6165300e,0x87a79a55,0xf7c60bd0,0x34febd0b,0x6503cf04,

0x854f709e,0xfb0fc034,0x874c9c65,0x2f94cc40,0x15a12deb,0x5c15f4a3,0x490786bb,

0x6d658673,0xa4341f7d,0x8fd75920,0xefd18d5a])

>>> input2 = array('I', [x^y for x,y in zip(input1,

[0, 0, 0, 0, 0, 1<<10, 0, 0, 0, 0, 1<<31, 0, 0, 0, 0, 0])])

>>> input1 == input2

False

>>> md5(input1).hexdigest()

'cee9a457e790cf20d4bdaa6d69f01e41'

>>> md5(input2).hexdigest()

'cee9a457e790cf20d4bdaa6d69f01e41'

但是，如果你有更多的空间可以玩，几千字节的碰撞可以更快地计算 - 它们可以在几小时内在任何常规计算机上计算 .

老答案

之前的最短碰撞使用了至少两个MD5块的输入值 - 即128字节，1024位 . 第一个块中的前缀可以由攻击者任意选择，其余的将被计算并显示为乱码 .

这是两个不同碰撞输入的示例，您可以在Python中自己尝试：

>>> from binascii import unhexlify

>>> from hashlib import md5

>>> input1 = 'Oded Goldreich\nOded Goldreich\nOded Goldreich\nOded Go' + unhexlify(

... 'd8050d0019bb9318924caa96dce35cb835b349e144e98c50c22cf461244a4064bf1afaecc582'

... '0d428ad38d6bec89a5ad51e29063dd79b16cf67c12978647f5af123de3acf844085cd025b956')

>>> len(input1)

128

>>> md5(input1).hexdigest()

'd320b6433d8ebc1ac65711705721c2e1'

>>> input2 = 'Neal Koblitz\nNeal Koblitz\nNeal Koblitz\nNeal Koblitz\n' + unhexlify(

... '75b80e0035f3d2c909af1baddce35cb835b349e144e88c50c22cf461244a40e4bf1afaecc582'

... '0d428ad38d6bec89a5ad51e29063dd79b16cf6fc11978647f5af123de3acf84408dcd025b956')

>>> md5(input2).hexdigest()

'd320b6433d8ebc1ac65711705721c2e1'

在215节点的Playstation 3集群上生成这两个特定输入需要2天，by Mark Stevens :)