Если на пальцах. Ты перехватываешь сообщение в котором содержится message, hash(secret+message). Секрет тебе не известен. Но за счет того, что хэширующие функции сворачивают данные начиная сначала, ты можешь к message добавить произвольные данные. При этом проверка secret'а пройдет нормально.
Сегодня в 20:00 по московскому времени стартует #ZeroNights HackQuest 2018. Это прекрасная возможность как выиграть билет на ZeroNights, так и прокачать свои скилы в web, re, crypto, ml, pwn.