理论上md5是不可逆的，而且MD5本来也不是作加密使用，而是用来校验数据的完整性，只是因为其不可逆且稳定、快速的特点，被广泛用于对明文密码的加密。
至今仍然后很多开发人员相信MD5的保密性，也许因为他们知道MD5的算法，觉得hash不可逆。但实际上，真正要破解MD5的人，不会选择逆向逆的明文，都是用hash碰撞。把一些明文密码MD5 hash一遍之后对比哪个MD5值与你的一样。那你的明文就知道了。类似于一个比对词典，叫做彩虹表。
举个例子比如一个密码是‘88888888’那么任何采用标准MD5加密的网站数据库中，存放的都是8ddcff3a80f4189ca1c9d4d902c3c909这样一个MD5值。
由于密文相同，大多数网站和系统的加密都是以相同的明文口令生成相同的密文。所以，那些高频的密文就是高频明文的口令。攻击者可以针对标准算法来制定高频明文的对应密文文档来查询比对。通过穷举的方式制定数字字母组合的口令与多种算法加密结果的映射结果集，就形成了彩虹表。
加盐
哈希加盐法（HASH+SALT）。所谓加盐（SALT）其实就是生成HASH时给予一个干扰，使结果与标准的HASH结果不同，从而对抗彩虹表。
比如说用户密码‘88888888’，加一个盐（一个随机字符串）‘q1we2rt3y6u8io7p’，拼接到一起在计算MD5，结果值就变了。这样即使用户使用弱密码，也能一定程度上防御彩虹攻击。但是如果每个密码加的盐都是一样的，那么就又回到了之前的问题了。
一人一密
我们要实现，相同的站点，不同用户的相同的密码口令不同。这样就能有效的对付碰撞和统计攻击。例如：加自定义的盐。密码拼接用户名或者时间戳在计算MD5。
用户注册时:
1.用户输入[username]和[password]
2.系统为用户生成[Salt值]
3.系统将[Salt值]和[password]拼接在一起
4.对拼接后的值进行散列，得到[Hash1]
5.将[Hash1]和[Salt值]放在数据库中。
用户登录时:
1.用户输入[username]和[password]
2.系统通过用户名找到与之对应的[Hash1]和[Salt值]
3.系统将[Salt值]和[用户输入的密码]拼接在一起
4.对拼接后的值进行散列，得到[Hash2]
5.对比[Hash1]和[Hash2]是否相等，相等则授权登录